VPN арқылы кіру, содан кейін шифрлаушы бағдарлама: дәлелдер нені қолдайды
02:14-тегі кіру және 03:02-дегі шифрланған файлдар — тергеуге тұрарлық реттілік, кіру нүктесі емес. Аутентификация, сессия және хост дәлелдерін бөлек ұстаңыз.
Төмендегілердің барлығы гипотетикалық жазбаны пайдаланады, ол нақты істі сипаттау үшін емес, пішінді көрсету үшін жиналған. Ол тізбек ретінде оқылады: 02:14-те шлюз аутентификациясы, 02:19-да жұмыс үстелі сессиясы, 02:41-де артықшылығы бар тіркелгінің өзгеруі және 03:02-де табылған шифрланған файлдар. Бірінші жол жауап сияқты көрінеді және есеп жиі солай жазылады. Кіру — шлюз тіркеген оқиға, біреудің қалай кіргені туралы қорытынды емес, және дәл осы айырмашылық келесі не істейтініңізді анықтайды.
Симптом: жауапқа ұқсайтын кіру
Аутентификация жазбалары — алуға ең жеңіл дәлелдер және шамадан тыс түсіндіруге ең жеңіл дәлелдер. Олар қызметтің белгілі бір уақытта, белгілі бір мекенжайдан, белгілі бір тіркелгі үшін тіркелгі деректерін қабылдағанын көрсетеді. Олар тіркелгі деректерін кім басқарғанын, шлюз теріс пайдаланылғанын немесе тіркелгі иесінің құрылғысы бұрыннан зақымдалғанын көрсетпейді.
Үш түсіндірме бір кіру жолына сәйкес келеді. Біреу ұрланған құпиясөзді пайдаланды, ал шлюз дәл өзі үшін салынғанды жасады. Бұрын зақымдалған ноутбук әдеттегідей кірді. Байланысы жоқ ашық қызмет нақты кіруді берді, ал VPN сессиясы сол әрекет етушінің кейінгі, бөлек әрекеті.
Әр түсіндірме қоршаған ортаның басқа жерінде әртүрлі дәлелдерді болжайды, сондықтан тергеу сол болжамдарды іздеуі керек, алғашқы сәйкес түсіндірмені растауды емес. Ұрланған құпиясөз әдеттен тыс аутентификация географиясын немесе уақытын болжайды. Зақымдалған ноутбук кіруге дейін хост артефактілерін болжайды. Байланысы жоқ кіру нүктесі шлюзге мүлде қатысы жоқ белсенділікті болжайды.
Оқиғаларды баяндамас бұрын бөлек ұстаңыз
Кез келген баяндау пайда болмай тұрып оқиғаларды бөлек жазыңыз, өйткені баяндау уақыт сызығын күдіктінің айналасында реттеуге шақырады. Әр жол сол жазбаның нені дәлелдейтінін және бөлек, жалғыз нені дәлелдей алмайтынын айтуы керек. Екі жол бір сөйлемге біріккен сәтте түсініктеме әлдеқашан жеңіп қойған.
Соңғы оқиға шабуылдаушы туралы емес, анықтау туралы екенін байқаңыз. Табылу уақыты мен зақымдалу уақыты әдетте сағаттармен немесе апталармен алшақтайды, және оларды теңестіретін есеп сізден кейін келетін әр оқырманды жаңылыстырады.
Әр уақыт белгісінің қайдан келгенін жазыңыз, тек нені айтатынын емес. Жинаушының қабылдау уақыты, оқиға уақыты және анықтау уақыты — үш түрлі сан, және оларды үнсіз бір бағанға қалыпқа келтіру уақыт сызығына дәлелдерде ешқашан болмаған пішінді беретін жол.
Жазбаларды тек идентификаторлар сәйкес келетін жерде біріктіріңіз
Жазбаларды біріктіру — болжам, пішімдеу қадамы емес. Тіркелгі атауы, берілген VPN мекенжайы, мақсатты хост және сессия идентификаторы екі жол бір оқиғаға айналмас бұрын сәйкес келуі керек. Ортақ жария мекенжай жеткіліксіз, өйткені ол дизайн бойынша ортақ.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Кіруді қадағалағанда кестені төменнен жоғары, әсер ауқымын анықтағанда жоғарыдан төмен оқыңыз, өйткені екі сұрақ қарама-қарсы бағыттарды қажет етеді. Идентификаторлар шынымен сәйкес келетін жерде мұны айтып, екі жазбаға да сілтеме жасаңыз. Сәйкес келмейтін жерде олқылықты болжаммен жаппай, көрінетін күйінде қалдырыңыз.
Мұнда таныс пайдаланушы аты да жаңылыстырады. Бір тіркелгіні таңертең заңды иесі, түнде басқа біреу пайдалануы мүмкін, және тек тіркелгі атауы оларды ажырата алмайды. Тіркелгіні теліп, содан кейін адамды бөлек теліңіз, және бұған бірдеңе дәлел болғанда ғана. Қарау кезінде құлайтын уақыт сызықтарының көбі дәл осы қадамды тым жылдам жасаған.
Жоғалған журналдар — олқылық, теріс дәлел емес
Сәтсіз құпиясөз оқиғаларының болмауы сәтті кірудің заңды болғанын дәлелдемейді. Жарамды ұрланған тіркелгі деректері сәтті аутентификация жазбасын береді және бірде-бір сәтсіздік бермейді, және дәл осы тіркелгі деректерін ұрлауды тартымды етеді.
Сол сияқты, бүгін жабық порт бүгін туралы бірдеңе айтады. Ол сол қызметтің сол кезде ашық болғанын, сол кезде осал болғанын немесе шабуылды көтергенін білдірмейді. Тарихи конфигурация мен қызмет дәлелдері ғана сол олқылықты жаба алады.
Олқылықты есепте анық көрсетіңіз. «Бізде сол аралық үшін жазбалар жоқ» — қорғауға болатын сөйлем; «басқа ештеңе болған жоқ» олай емес, және ол сізге қайтарылып келтіріледі. Олқылықтардың иелері де бар: жазбаны өндіруі тиіс жүйені және неге өндірмегенін атаңыз. Сол жол қалдырып кетуді түзету тармағына айналдырады.
Тұжырымдарды дәлелдер қолдайтын деңгейде жазыңыз
Сақтау, оқшаулау және қалпына келтіруді оқиға иесі арқылы үйлестіріңіз, оны айналып өтпей. CISA техникалық нұсқаулығы түзету қолжетімді қалғанды өзгертпей тұрып тиісті артефактілер мен журналдарды жинауды ерекшелейді, және бұл реттілік кез келген жеке құралдан маңыздырақ.
Олқылықты жабу үшін тірі жабдықта күдікті эксплойтты қайта іске қосу қосылатын тәуекелге тұрарлық емес. Шабуыл жұмыс істей алатынын көрсететін сынақ оның жұмыс істегенінің дәлелі емес, және осы екі тұжырымның айырмашылығы — бүкіл жаттығудың тәртібі.
Төрт тізіммен аяқтаңыз: не байқалды, жазбалар қандай байланыстарды қолдайды, не болжам күйінде қалады және қандай жазбалар қолжетімсіз. «Оқиға кезінде VPN тіркелгісі пайдаланылды» екінші тізімге жатады, егер жазбалар мұны қолдаса. «VPN шифрлаушы бағдарламаны тудырды» бірдеңе себептілікті анықтамайынша еш жерге жатпайды.