VPN ಲಾಗಿನ್ ನಂತರ ರ್ಯಾನ್ಸಮ್ವೇರ್: ಪುರಾವೆಗಳು ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ
02:14ಕ್ಕೆ ಲಾಗಿನ್ ಮತ್ತು 03:02ಕ್ಕೆ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ಕಡತಗಳು — ಇದು ತನಿಖೆಗೆ ಅರ್ಹವಾದ ಕ್ರಮ, ಪ್ರವೇಶ ಬಿಂದು ಅಲ್ಲ. ದೃಢೀಕರಣ, ಸೆಷನ್ ಮತ್ತು ಹೋಸ್ಟ್ ಪುರಾವೆಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ.
ಕೆಳಗಿನ ಎಲ್ಲವೂ ಒಂದು ಕಾಲ್ಪನಿಕ ದಾಖಲೆಯನ್ನು ಬಳಸುತ್ತದೆ, ಅದನ್ನು ನಿಜವಾದ ಪ್ರಕರಣವನ್ನು ವಿವರಿಸಲು ಅಲ್ಲ, ಆಕಾರವನ್ನು ತೋರಿಸಲು ಜೋಡಿಸಲಾಗಿದೆ. ಅದು ಸರಪಳಿಯಂತೆ ಓದುತ್ತದೆ: 02:14ಕ್ಕೆ ಗೇಟ್ವೇ ದೃಢೀಕರಣ, 02:19ಕ್ಕೆ ಡೆಸ್ಕ್ಟಾಪ್ ಸೆಷನ್, 02:41ಕ್ಕೆ ವಿಶೇಷಾಧಿಕಾರ ಹೊಂದಿದ ಖಾತೆಯ ಬದಲಾವಣೆ, ಮತ್ತು 03:02ಕ್ಕೆ ಕಂಡುಬಂದ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ಕಡತಗಳು. ಮೊದಲ ಸಾಲು ಉತ್ತರದಂತೆ ಕಾಣುತ್ತದೆ, ಮತ್ತು ವರದಿಯನ್ನು ಹೆಚ್ಚಾಗಿ ಹಾಗೆ ಇದೆ ಎಂಬಂತೆ ಬರೆಯಲಾಗುತ್ತದೆ. ಲಾಗಿನ್ ಎಂಬುದು ಗೇಟ್ವೇ ದಾಖಲಿಸಿದ ಘಟನೆ, ಯಾರೋ ಒಳಗೆ ಹೇಗೆ ಬಂದರು ಎಂಬ ತೀರ್ಮಾನವಲ್ಲ, ಮತ್ತು ಈ ವ್ಯತ್ಯಾಸವೇ ಮುಂದೆ ಏನು ಮಾಡುತ್ತೀರಿ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.
ಲಕ್ಷಣ: ಉತ್ತರದಂತೆ ಕಾಣುವ ಲಾಗಿನ್
ದೃಢೀಕರಣ ದಾಖಲೆಗಳು ಪಡೆಯಲು ಅತ್ಯಂತ ಸುಲಭವಾದ ಪುರಾವೆಗಳು ಮತ್ತು ಅತಿಯಾಗಿ ಅರ್ಥೈಸಲು ಅತ್ಯಂತ ಸುಲಭವಾದವು. ಸೇವೆಯು ಒಂದು ಸಮಯದಲ್ಲಿ, ಒಂದು ವಿಳಾಸದಿಂದ, ಒಂದು ಖಾತೆಗೆ ಒಂದು ರುಜುವಾತನ್ನು ಸ್ವೀಕರಿಸಿತು ಎಂದು ಅವು ತೋರಿಸುತ್ತವೆ. ರುಜುವಾತನ್ನು ಯಾರು ನಿಯಂತ್ರಿಸುತ್ತಿದ್ದರು, ಗೇಟ್ವೇ ದುರುಪಯೋಗವಾಯಿತೇ, ಅಥವಾ ಖಾತೆದಾರರ ಸಾಧನ ಈಗಾಗಲೇ ಹಾನಿಗೊಳಗಾಗಿತ್ತೇ ಎಂಬುದನ್ನು ಅವು ತೋರಿಸುವುದಿಲ್ಲ.
ಮೂರು ವಿವರಣೆಗಳು ಒಂದೇ ಲಾಗಿನ್ ಸಾಲಿಗೆ ಹೊಂದುತ್ತವೆ. ಯಾರೋ ಕದ್ದ ಗುಪ್ತಪದವನ್ನು ಬಳಸಿದರು, ಮತ್ತು ಗೇಟ್ವೇ ತನಗಾಗಿ ನಿರ್ಮಿಸಿದ್ದನ್ನು ನಿಖರವಾಗಿ ಮಾಡಿತು. ಹಿಂದೆ ಹಾನಿಗೊಳಗಾದ ಲ್ಯಾಪ್ಟಾಪ್ ಎಂದಿನಂತೆ ಲಾಗಿನ್ ಆಯಿತು. ಸಂಬಂಧವಿಲ್ಲದ ತೆರೆದ ಸೇವೆಯು ನಿಜವಾದ ಪ್ರವೇಶವನ್ನು ನೀಡಿತು, ಮತ್ತು VPN ಸೆಷನ್ ಅದೇ ನಟನ ನಂತರದ, ಪ್ರತ್ಯೇಕ ಕ್ರಿಯೆ.
ಪ್ರತಿ ವಿವರಣೆಯೂ ಪರಿಸರದ ಬೇರೆಡೆ ಬೇರೆ ಪುರಾವೆಗಳನ್ನು ಮುನ್ಸೂಚಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ತನಿಖೆಯು ಆ ಮುನ್ಸೂಚನೆಗಳನ್ನು ಹುಡುಕಬೇಕು, ಹೊಂದುವ ಮೊದಲ ವಿವರಣೆಯ ದೃಢೀಕರಣವನ್ನಲ್ಲ. ಕದ್ದ ಗುಪ್ತಪದವು ಅಸಾಮಾನ್ಯ ದೃಢೀಕರಣ ಭೂಗೋಳ ಅಥವಾ ಸಮಯವನ್ನು ಮುನ್ಸೂಚಿಸುತ್ತದೆ. ಹಾನಿಗೊಳಗಾದ ಲ್ಯಾಪ್ಟಾಪ್ ಲಾಗಿನ್ಗೆ ಮೊದಲು ಹೋಸ್ಟ್ ಕಲಾಕೃತಿಗಳನ್ನು ಮುನ್ಸೂಚಿಸುತ್ತದೆ. ಸಂಬಂಧವಿಲ್ಲದ ಪ್ರವೇಶ ಬಿಂದು ಗೇಟ್ವೇಗೆ ಸಂಪೂರ್ಣ ಸಂಬಂಧವಿಲ್ಲದ ಚಟುವಟಿಕೆಯನ್ನು ಮುನ್ಸೂಚಿಸುತ್ತದೆ.
ಘಟನೆಗಳನ್ನು ನಿರೂಪಿಸುವ ಮೊದಲು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ
ಯಾವುದೇ ನಿರೂಪಣೆ ಇರುವ ಮೊದಲು ಘಟನೆಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ನಿರೂಪಣೆ ಸಮಯರೇಖೆಯನ್ನು ಶಂಕಿತನ ಸುತ್ತ ಜೋಡಿಸಲು ಆಹ್ವಾನಿಸುತ್ತದೆ. ಪ್ರತಿ ಸಾಲು ಆ ದಾಖಲೆ ಏನನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ ಮತ್ತು ಪ್ರತ್ಯೇಕವಾಗಿ, ಒಂಟಿಯಾಗಿ ಏನನ್ನು ಸ್ಥಾಪಿಸಲಾಗದು ಎಂಬುದನ್ನು ಹೇಳಬೇಕು. ಎರಡು ಸಾಲುಗಳು ಒಂದೇ ವಾಕ್ಯದಲ್ಲಿ ವಿಲೀನವಾದ ಕ್ಷಣ, ಒಂದು ವ್ಯಾಖ್ಯಾನ ಈಗಾಗಲೇ ಗೆದ್ದಿದೆ.
ಕೊನೆಯ ಘಟನೆ ದಾಳಿಕೋರನ ಬಗ್ಗೆ ಅಲ್ಲ, ಪತ್ತೆದ ಬಗ್ಗೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ. ಪತ್ತೆಯ ಸಮಯ ಮತ್ತು ಹಾನಿಯ ಸಮಯ ಸಾಮಾನ್ಯವಾಗಿ ಗಂಟೆಗಳು ಅಥವಾ ವಾರಗಳ ಅಂತರದಲ್ಲಿರುತ್ತವೆ, ಮತ್ತು ಅವುಗಳನ್ನು ಸಮಾನಗೊಳಿಸುವ ವರದಿ ನಿಮ್ಮ ನಂತರ ಬರುವ ಪ್ರತಿ ಓದುಗನನ್ನೂ ದಾರಿತಪ್ಪಿಸುತ್ತದೆ.
ಪ್ರತಿ ಸಮಯ ಚಿಹ್ನೆ ಎಲ್ಲಿಂದ ಬಂತು ಎಂಬುದನ್ನು ದಾಖಲಿಸಿ, ಅದು ಏನು ಹೇಳುತ್ತದೆ ಎಂಬುದಷ್ಟೇ ಅಲ್ಲ. ಸಂಗ್ರಾಹಕನ ಸ್ವೀಕೃತಿ ಸಮಯ, ಘಟನೆಯ ಸಮಯ ಮತ್ತು ಪತ್ತೆಯ ಸಮಯ ಮೂರು ವಿಭಿನ್ನ ಸಂಖ್ಯೆಗಳು, ಮತ್ತು ಅವುಗಳನ್ನು ಮೌನವಾಗಿ ಒಂದು ಕಾಲಮ್ಗೆ ಸಾಮಾನ್ಯೀಕರಿಸುವುದೇ ಸಮಯರೇಖೆಗೆ ಪುರಾವೆಗಳು ಎಂದೂ ಹೊಂದಿರದ ಆಕಾರವನ್ನು ನೀಡುವ ದಾರಿ.
ಗುರುತಿಸುವಿಕೆಗಳು ಹೊಂದುವ ಸ್ಥಳದಲ್ಲಿ ಮಾತ್ರ ದಾಖಲೆಗಳನ್ನು ಸೇರಿಸಿ
ದಾಖಲೆಗಳನ್ನು ಸೇರಿಸುವುದು ಒಂದು ಕಲ್ಪನೆ, ಫಾರ್ಮ್ಯಾಟಿಂಗ್ ಹಂತವಲ್ಲ. ಖಾತೆಯ ಹೆಸರು, ನಿಗದಿಪಡಿಸಿದ VPN ವಿಳಾಸ, ಗುರಿ ಹೋಸ್ಟ್ ಮತ್ತು ಸೆಷನ್ ಗುರುತಿಸುವಿಕೆ ಎರಡು ಸಾಲುಗಳು ಒಂದು ಕಥೆಯಾಗುವ ಮೊದಲು ಹೊಂದಬೇಕು. ಹಂಚಿಕೊಂಡ ಸಾರ್ವಜನಿಕ ವಿಳಾಸ ಸಾಕಾಗುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಅದು ವಿನ್ಯಾಸದಿಂದಲೇ ಹಂಚಿಕೆಯಾಗಿದೆ.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
ಪ್ರವೇಶವನ್ನು ಪತ್ತೆ ಮಾಡುವಾಗ ಕೋಷ್ಟಕವನ್ನು ಕೆಳಗಿನಿಂದ ಮೇಲಕ್ಕೆ ಓದಿ, ಮತ್ತು ಪರಿಣಾಮದ ವ್ಯಾಪ್ತಿಯನ್ನು ನಿರ್ಧರಿಸುವಾಗ ಮೇಲಿನಿಂದ ಕೆಳಕ್ಕೆ, ಏಕೆಂದರೆ ಎರಡು ಪ್ರಶ್ನೆಗಳಿಗೆ ವಿರುದ್ಧ ದಿಕ್ಕುಗಳು ಬೇಕು. ಗುರುತಿಸುವಿಕೆಗಳು ನಿಜವಾಗಿ ಹೊಂದುವ ಸ್ಥಳದಲ್ಲಿ ಅದನ್ನು ಹೇಳಿ ಮತ್ತು ಎರಡೂ ದಾಖಲೆಗಳನ್ನು ಉಲ್ಲೇಖಿಸಿ. ಹೊಂದದ ಸ್ಥಳದಲ್ಲಿ ಊಹೆಯಿಂದ ಅಂತರವನ್ನು ಮುಚ್ಚುವ ಬದಲು ಅದನ್ನು ಗೋಚರವಾಗಿ ಬಿಡಿ.
ಇಲ್ಲಿ ಪರಿಚಿತ ಬಳಕೆದಾರ ಹೆಸರೂ ದಾರಿತಪ್ಪಿಸುತ್ತದೆ. ಅದೇ ಖಾತೆಯನ್ನು ಬೆಳಗ್ಗೆ ಕಾನೂನುಬದ್ಧ ಮಾಲೀಕರು ಮತ್ತು ರಾತ್ರಿ ಬೇರೆಯವರು ಬಳಸಬಹುದು, ಮತ್ತು ಖಾತೆಯ ಹೆಸರೊಂದೇ ಅವರನ್ನು ಪ್ರತ್ಯೇಕಿಸಲಾರದು. ಖಾತೆಯನ್ನು ಆರೋಪಿಸಿ, ನಂತರ ವ್ಯಕ್ತಿಯನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಆರೋಪಿಸಿ, ಮತ್ತು ಏನಾದರೂ ಅದನ್ನು ಬೆಂಬಲಿಸಿದಾಗ ಮಾತ್ರ. ಪರಿಶೀಲನೆಯಲ್ಲಿ ಒಡೆಯುವ ಹೆಚ್ಚಿನ ಸಮಯರೇಖೆಗಳು ನಿಖರವಾಗಿ ಈ ಹಂತವನ್ನು ಬಹಳ ವೇಗವಾಗಿ ಮಾಡಿವೆ.
ಕಾಣೆಯಾದ ಲಾಗ್ಗಳು ಅಂತರ, ಋಣಾತ್ಮಕ ಪುರಾವೆ ಅಲ್ಲ
ವಿಫಲವಾದ ಗುಪ್ತಪದ ಘಟನೆಗಳ ಅನುಪಸ್ಥಿತಿ ಯಶಸ್ವಿ ಲಾಗಿನ್ ಕಾನೂನುಬದ್ಧವಾಗಿತ್ತು ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಮಾನ್ಯವಾದ ಕದ್ದ ರುಜುವಾತುಗಳು ಯಶಸ್ವಿ ದೃಢೀಕರಣ ದಾಖಲೆಯನ್ನು ಮತ್ತು ಒಂದೂ ವೈಫಲ್ಯವನ್ನು ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಅದೇ ಕಾರಣದಿಂದ ರುಜುವಾತು ಕಳ್ಳತನ ಆಕರ್ಷಕವಾಗುತ್ತದೆ.
ಅದೇ ರೀತಿ, ಇಂದು ಮುಚ್ಚಿರುವ ಪೋರ್ಟ್ ಇಂದಿನ ಬಗ್ಗೆ ಏನೋ ಹೇಳುತ್ತದೆ. ಆ ಸೇವೆ ಆಗ ತೆರೆದಿತ್ತೇ, ಆಗ ದುರ್ಬಲವಾಗಿತ್ತೇ, ಅಥವಾ ದಾಳಿಯನ್ನು ಹೊತ್ತಿತ್ತೇ ಎಂಬುದರ ಬಗ್ಗೆ ಅದು ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಐತಿಹಾಸಿಕ ಸಂರಚನೆ ಮತ್ತು ಸೇವೆಯ ಪುರಾವೆಗಳು ಮಾತ್ರ ಆ ಅಂತರವನ್ನು ಮುಚ್ಚಬಲ್ಲವು.
ವರದಿಯಲ್ಲಿ ಅಂತರವನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ತಿಳಿಸಿ. «ಆ ಮಧ್ಯಂತರಕ್ಕೆ ನಮ್ಮ ಬಳಿ ದಾಖಲೆಗಳಿಲ್ಲ» ಎಂಬುದು ಸಮರ್ಥನೀಯ ವಾಕ್ಯ; «ಬೇರೆ ಏನೂ ಸಂಭವಿಸಲಿಲ್ಲ» ಅಲ್ಲ, ಮತ್ತು ಅದನ್ನು ನಿಮಗೆ ಮರಳಿ ಉಲ್ಲೇಖಿಸಲಾಗುತ್ತದೆ. ಅಂತರಗಳಿಗೂ ಮಾಲೀಕರಿರುತ್ತಾರೆ: ದಾಖಲೆಯನ್ನು ಉತ್ಪಾದಿಸಬೇಕಿದ್ದ ವ್ಯವಸ್ಥೆ ಮತ್ತು ಏಕೆ ಉತ್ಪಾದಿಸಲಿಲ್ಲ ಎಂಬುದನ್ನು ಹೆಸರಿಸಿ. ಆ ಸಾಲು ಬಿಟ್ಟುಬಿಡುವಿಕೆಯನ್ನು ಸರಿಪಡಿಸುವ ಅಂಶವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.
ಪುರಾವೆಗಳು ಬೆಂಬಲಿಸುವ ಮಟ್ಟದಲ್ಲಿ ಸಂಶೋಧನೆಗಳನ್ನು ಬರೆಯಿರಿ
ಸಂರಕ್ಷಣೆ, ನಿರ್ಬಂಧ ಮತ್ತು ಮರುಪ್ರಾಪ್ತಿಯನ್ನು ಘಟನೆಯ ಮಾಲೀಕರ ಮೂಲಕ ಸಂಯೋಜಿಸಿ, ಅವರನ್ನು ಬಳಸಿಕೊಂಡು ಅಲ್ಲ. CISAನ ತಾಂತ್ರಿಕ ಮಾರ್ಗದರ್ಶನ ಸರಿಪಡಿಸುವಿಕೆ ಲಭ್ಯವಿರುವುದನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಸಂಬಂಧಿತ ಕಲಾಕೃತಿಗಳು ಮತ್ತು ಲಾಗ್ಗಳನ್ನು ಸಂಗ್ರಹಿಸುವುದನ್ನು ಒತ್ತಿಹೇಳುತ್ತದೆ, ಮತ್ತು ಆ ಕ್ರಮ ಯಾವುದೇ ಒಂದು ಸಾಧನಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ.
ಅಂತರವನ್ನು ಮುಚ್ಚಲು ಜೀವಂತ ಉಪಕರಣದ ಮೇಲೆ ಶಂಕಿತ ಎಕ್ಸ್ಪ್ಲಾಯಿಟ್ ಅನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸುವುದು ಸೇರಿಸುವ ಅಪಾಯಕ್ಕೆ ಯೋಗ್ಯವಲ್ಲ. ದಾಳಿ ಕೆಲಸ ಮಾಡಬಹುದಿತ್ತು ಎಂದು ತೋರಿಸುವ ಪರೀಕ್ಷೆ ಅದು ಕೆಲಸ ಮಾಡಿತು ಎಂಬ ಪುರಾವೆಯಲ್ಲ, ಮತ್ತು ಆ ಎರಡು ಹೇಳಿಕೆಗಳ ನಡುವಿನ ವ್ಯತ್ಯಾಸವೇ ಈ ಅಭ್ಯಾಸದ ಸಂಪೂರ್ಣ ಶಿಸ್ತು.
ನಾಲ್ಕು ಪಟ್ಟಿಗಳೊಂದಿಗೆ ಮುಗಿಸಿ: ಏನು ಗಮನಿಸಲಾಯಿತು, ದಾಖಲೆಗಳು ಯಾವ ಸಂಬಂಧಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ, ಏನು ಕಲ್ಪನೆಯಾಗಿ ಉಳಿಯುತ್ತದೆ ಮತ್ತು ಯಾವ ದಾಖಲೆಗಳು ಲಭ್ಯವಿಲ್ಲ. «ಘಟನೆಯ ಸಮಯದಲ್ಲಿ VPN ಖಾತೆಯನ್ನು ಬಳಸಲಾಗಿದೆ» ಎಂಬುದು ದಾಖಲೆಗಳು ಬೆಂಬಲಿಸಿದಾಗ ಎರಡನೇ ಪಟ್ಟಿಗೆ ಸೇರುತ್ತದೆ. «VPN ರ್ಯಾನ್ಸಮ್ವೇರ್ ಉಂಟುಮಾಡಿತು» ಎಂಬುದು ಯಾವುದೋ ಕಾರಣಸಂಬಂಧವನ್ನು ಸ್ಥಾಪಿಸುವವರೆಗೆ ಎಲ್ಲೂ ಸೇರುವುದಿಲ್ಲ.