VPN аркылуу кирүү, анан шифрлоочу программа: далилдер эмнени колдойт
02:14төгү кирүү жана 03:02деги шифрленген файлдар — иликтенүүгө татыктуу ырааттуулук, кирүү чекити эмес. Аутентификация, сессия жана хост далилдерин өзүнчө кармаңыз.
Төмөнкүлөрдүн баары гипотетикалык жазууну колдонот, ал реалдуу ишти сүрөттөө үчүн эмес, форма көрсөтүү үчүн куралган. Ал чынжыр сыяктуу окулат: 02:14тө шлюздун аутентификациясы, 02:19до жумуш үстөлүнүн сессиясы, 02:41де артыкчылыктуу эсептин өзгөрүүсү жана 03:02де табылган шифрленген файлдар. Биринчи сап жооп сыяктуу көрүнөт жана отчёт көбүнчө ошондой деп жазылат. Кирүү — шлюз каттаган окуя, бирөө кантип киргени тууралуу тыянак эмес, жана дал ошол айырма эмне кылаарыңызды аныктайт.
Симптом: жоопко окшош кирүү
Аутентификация жазуулары — алуу эң жеңил далилдер жана ашыкча чечмелөө эң жеңил далилдер. Алар кызмат белгилүү убакта, белгилүү даректен, белгилүү эсеп үчүн каттоо маалыматын кабыл алганын көрсөтөт. Алар каттоо маалыматын ким башкарганын, шлюз терс пайдаланылганын же эсеп ээсинин түзмөгү мурун бузулганын көрсөтпөйт.
Үч түшүндүрмө бир кирүү сабына туура келет. Бирөө уурдалган сырсөздү колдонду жана шлюз дал өзү үчүн курулганды аткарды. Мурун бузулган ноутбук адаттагыдай эле кирди. Байланышы жок ачык кызмат чыныгы кирүүнү берди, ал эми VPN сессиясы ошол эле аракетчинин кийинки, өзүнчө аракети.
Ар бир түшүндүрмө чөйрөнүн башка жеринде башка далилдерди болжолдойт, ошондуктан иликтөө ошол болжолдоолорду издөөгө тийиш, биринчи туура келген түшүндүрмөнү ырастоону эмес. Уурдалган сырсөз адаттан тыш аутентификация географиясын же убактысын болжолдойт. Бузулган ноутбук кирүүгө чейин хост артефактыларын болжолдойт. Байланышы жок кирүү чекити шлюзга такыр тиешеси жок ишмердүүлүктү болжолдойт.
Окуяларды айтып берүүдөн мурун өзүнчө кармаңыз
Кандайдыр бир баяндоо пайда боло электе окуяларды өзүнчө жазыңыз, анткени баяндоо убакыт сызыгын шектүүнүн айланасында тизүүгө чакырат. Ар бир сап ошол жазуу эмнени далилдей турганын жана өзүнчө, жалгыз эмнени далилдей албастыгын айтышы керек. Эки сап бир сүйлөмгө кошулган учурда чечмелөө мурунтан эле жеңип койгон.
Акыркы окуя чабуулчу тууралуу эмес, аныктоо тууралуу экенин байкаңыз. Табылуу убактысы менен бузулуу убактысы адатта сааттар же жумалар менен ажырайт, жана аларды теңдеген отчёт сизден кийин келген ар бир окурманды адаштырат.
Ар бир убакыт белгиси кайдан келгенин жазыңыз, эмнени айтканын гана эмес. Жыйноочунун кабыл алуу убактысы, окуя убактысы жана аныктоо убактысы — үч башка сан, жана аларды үнсүз түрдө бир тилкеге нормалдаштыруу убакыт сызыгына далилдер эч качан ээ болбогон форманы берүүнүн жолу.
Жазууларды идентификаторлор дал келген жерде гана бириктириңиз
Жазууларды бириктирүү — божомол, форматтоо кадамы эмес. Эсептин аты, берилген VPN дареги, максаттуу хост жана сессия идентификатору эки сап бир окуяга айланганга чейин дал келиши керек. Жалпы жарыя дарек жетишсиз, анткени ал долбоор боюнча жалпы.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Кирүүнү көзөмөлдөгөндө таблицаны төмөндөн жогору, таасирдин көлөмүн аныктаганда жогорудан төмөн окуңуз, анткени эки суроо карама-каршы багыттарды талап кылат. Идентификаторлор чын эле дал келген жерде муну айтып, эки жазууга тең шилтеме кылыңыз. Дал келбеген жерде боштукту божомол менен жаппай, көрүнүп тургандай калтырыңыз.
Бул жерде тааныш колдонуучу аты да адаштырат. Ошол эле эсепти эртең менен мыйзамдуу ээси, түнкүсүн башка бирөө колдонушу мүмкүн, жана эсептин аты гана аларды ажырата албайт. Эсепти таандык кылыңыз, анан адамды өзүнчө таандык кылыңыз, жана муну бирдеңе колдогондо гана. Карап чыгууда кулаган убакыт сызыктарынын көбү дал ушул кадамды өтө тез жасаган.
Жоголгон журналдар — боштук, терс далил эмес
Ийгиликсиз сырсөз окуяларынын жоктугу ийгиликтүү кирүүнүн мыйзамдуу болгонун далилдебейт. Жарактуу уурдалган каттоо маалыматтары ийгиликтүү аутентификация жазуусун берет жана эч кандай ийгиликсиздик бербейт, жана дал ушул каттоо маалыматтарын уурдоону жагымдуу кылат.
Ошол сыяктуу эле, бүгүн жабык порт бүгүн тууралуу бирдеңе айтат. Ал ошол кызматтын ошондо ачык болгонун, ошондо алсыз болгонун же чабуулду көтөргөнүн айтпайт. Тарыхый конфигурация жана кызматтын далилдери гана ошол боштукту жаба алат.
Боштукту отчётто ачык көрсөтүңүз. «Бизде ошол аралык үчүн жазуулар жок» — коргоого боло турган сүйлөм; «башка эч нерсе болгон жок» андай эмес, жана ал сизге кайтарылып келтирилет. Боштуктардын ээлери да бар: жазууну өндүрүшү керек болгон системаны жана эмне үчүн өндүрбөгөнүн атаңыз. Ошол сап түшүрүп калтырууну оңдоо пунктуна айландырат.
Тыянактарды далилдер колдогон деңгээлде жазыңыз
Сактоо, обочолонуу жана калыбына келтирүүнү окуя ээси аркылуу координациялаңыз, аны айланып өтпөй. CISAнын техникалык көрсөтмөсү оңдоо жеткиликтүү калганды өзгөртө электе тиешелүү артефактыларды жана журналдарды жыйноону баса белгилейт, жана бул тартип каалаган бир куралдан маанилүүрөөк.
Боштукту жабуу үчүн тирүү жабдууда шектүү эксплойтти кайра иштетүү кошулган тобокелдикке татыктуу эмес. Чабуул иштеши мүмкүн экенин көрсөткөн сыноо анын иштегенин далилдебейт, жана бул эки ырастоонун айырмасы — бүткүл көнүгүүнүн тартиби.
Төрт тизме менен аяктаңыз: эмне байкалды, жазуулар кандай байланыштарды колдойт, эмне божомол бойдон калат жана кайсы жазуулар жеткиликсиз. «Окуя учурунда VPN эсеби колдонулган» экинчи тизмеге кирет, эгер жазуулар муну колдосо. «VPN шифрлоочу программаны пайда кылды» бирдеңе себептүүлүктү аныктамайынча эч жерге кирбейт.