VPN-Amelung an duerno Ransomware: wat d'Beweiser stäipen
Eng Amelung um 02:14 an verschlüsselte Fichieren um 03:02 sinn eng Rei, déi et wäert ass z'ënnersichen, keen Agangspunkt. Halt d'Beweiser fir Authentifikatioun, Sitzung an Host getrennt.
Alles hei drënner benotzt en hypothetesche Rekord, zesummegestallt fir eng Form ze weisen an net fir e richtege Fall ze beschreiwen. En liest sech wéi eng Ketten: eng Gateway-Authentifikatioun um 02:14, eng Desktop-Sitzung um 02:19, eng Ännerung vun engem privilegiéierte Kont um 02:41 an verschlüsselt Fichieren, déi um 03:02 fonnt goufen. Déi éischt Linn gesäit aus wéi d'Äntwert, an de Bericht gëtt dacks geschriwwen, wéi wann et esou wier. Eng Amelung ass en Event, deen en Gateway festgehalen huet, keng Erkenntnis doriwwer, wéi een eragekomm ass, an deen Ënnerscheed entscheet, wat Dir als nächst maacht.
D'Symptom: eng Amelung déi wéi d'Äntwert ausgesäit
Authentifikatiounsrekorder sinn déi einfachst Beweiser ze kréien an déi einfachst ze vill z'interpretéieren. Si weisen, datt de Service en Détail d'Identitéit zu enger Zäit, vun enger Adress, fir e Kont akzeptéiert huet. Si weisen net, wien déi Détail kontrolléiert huet, ob den Gateway ausgenotzt gouf oder ob d'Apparat vum Kontbesëtzer schonn kompromittéiert war.
Dräi Erklärunge passen op déiselwecht Amelungszeil. Een huet e geklauten Passwuert benotzt, an den Gateway huet genee dat gemaach, wofir en gebaut gouf. En Laptop, dee virdru kompromittéiert war, huet sech einfach wéi gewinnt agemellt. En onofhängegen exponéierte Service huet den eigentlechen Agang geliwwert, an d'VPN-Sitzung ass eng spéider, separat Handlung vum selwechten Acteur.
All Erklärung prognostizéiert aner Beweiser soss anzwousch an der Ëmgéigend, dofir muss d'Enquête no deene Prognosen sichen an net no der Bestätegung vun der éischter, déi passt. E geklaute Passwuert prognostizéiert eng ongewéinlech Authentifikatiounsgeografie oder -zäit. E kompromittéierte Laptop prognostizéiert Host-Artefakte virun der Amelung. En onofhängegen Agangspunkt prognostizéiert Aktivitéit, déi guer näischt mam Gateway ze dinn huet.
Halt d'Evenementer getrennt, ier Dir se erzielt
Schreif d'Evenementer getrennt op, ier eng Erzielung existéiert, well eng Erzielung invitéiert d'Zäitlinn ronderëm e Verdächtegen ze arrangéieren. All Linn soll soen, wat dee Rekord feststellt an, getrennt, wat en eleng net feststelle kann. Am Moment, wou zwou Linne sech zu engem Saz verschmëlzen, huet eng Interpretatioun schonn gewonnen.
Bemierk, datt dat lescht Evenement ëm d'Entdeckung geet an net ëm den Ugräifer. Entdeckungszäit a Kompromittéierungszäit leien gewéinlech Stonnen oder Wochen auseneen, an e Bericht, deen se gläichsetzt, wäert all Lieser hanner Dir irreféieren.
Schreif op, wou all Zäitstempel hierkënnt, net nëmme wat en seet. D'Empfangszäit vun engem Sammler, eng Eventzäit an eng Entdeckungszäit sinn dräi verschidde Zuelen, an se stilleweis an eng Kolonn ze normaliséieren ass de Wee, wéi eng Zäitlinn eng Form kritt, déi d'Beweiser ni haten.
Verbannt Rekorder just do, wou d'Identifikatoren iwwerenee stëmmen
Rekorder zesummeféieren ass eng Hypothese, keen Formatéierungsschrëtt. Den Numm vum Kont, d'zougewisen VPN-Adress, den Zilhost an den Identifikator vun der Sitzung mussen iwwerenee stëmmen, ier zwou Reihen eng Geschicht ginn. Eng gedeelt ëffentlech Adress ass net genuch, well se vun Design gedeelt gëtt.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lies d'Tabell vun ënnen no uewen, wann Dir en Agang verfollegt, a vun uewen no ënnen, wann Dir den Impakt ofgrenzt, well déi zwou Froe géigesätzlech Richtungen brauchen. Wou d'Identifikatoren tatsächlech iwwerenee stëmmen, sot et a zitéier béid Rekorder. Wou se et net maachen, loos d'Lück sichtbar, amplaz se mat enger Unhuel ze schléissen.
Hei féiert och en bekannten Benotzernumm an d'Ier. Dee selwechte Kont kann moies vum legitime Besëtzer a nuets vun engem aneren benotzt ginn, an den Numm vum Kont eleng kann se net ënnerscheeden. Schrief de Kont zou, da schrief d'Persoun getrennt zou, an just wann eppes dat stäipt. Déi meescht Zäitlinne, déi bei der Iwwerpréifung ausernee falen, hunn genee dëse Schrëtt ze séier gemaach.
Fehlend Logs sinn eng Lück, keen negativen Noweis
D'Fehlen vun Evenementer mat feelgeschloene Passwierder beweist net, datt d'erfollegräich Amelung legitim war. Gülteg geklaut Détailen d'Identitéit produzéieren en erfollegräichen Authentifikatiounsrekord an iwwerhaapt keng Feeler, an dat ass genee wat den Klau vun Identitéitsdaten attraktiv mécht.
Ähnlech seet en Hafen, deen haut zou ass, eppes iwwer haut. En seet näischt doriwwer, ob dee Service deemools exponéiert war, ob en deemools vulnérabel war oder ob en den Ugrëff gedroen huet. Historesch Konfiguratioun an d'Beweiser vum Service sinn deen eenzege Wee, déi Lück ze schléissen.
Bezeech d'Lück ausdrécklech am Bericht. «Mir hu keng Rekorder fir deen Intervall» ass en defensibele Saz; «et ass soss näischt geschitt» ass et net, an en gëtt géint Iech zitéiert. Lücke hunn och Besëtzer: nennt de System, deen de Rekord hätt solle produzéieren, a firwat en et net gemaach huet. Dee Saz mécht aus enger Ausloossung e Verbesserungspunkt.
Schreif d'Erkenntnisser op deem Niveau, deen d'Beweiser stäipen
Koordinéier Erhalen, Ofgrenzen a Restauratioun iwwer de Besëtzer vum Incident an net laanscht hien. Dem CISA seng technesch Leetfad betount d'Sammelen vun relevante Artefakten a Logs, ier d'Verbesserung ännert, wat nach verfügbar ass, an déi Reiefolleg ass wichteger wéi all eenzegt Instrument.
En verdächtegen Exploit nach eng Kéier géint lieweg Ausrüstung lafe loossen, fir d'Lück ze schléissen, ass den zousätzleche Risiko net wäert. En Test, deen weist, datt en Ugrëff kéint funktionéieren, ass keen Noweis, datt en et gemaach huet, an den Ënnerscheed tëscht deenen zwou Aussoen ass déi ganz Disziplin vun der Übung.
Schluss mat véier Lëschten: wat observéiert gouf, wéi eng Bezéiungen d'Rekorder stäipen, wat Hypothese bleift a wéi eng Rekorder net verfügbar sinn. «Wärend dem Incident gouf e VPN-Kont benotzt» gehéiert an déi zweet Lëscht, wann d'Rekorder dat stäipen. «D'VPN huet de Ransomware verursaacht» gehéiert néierendran, bis eppes d'Kausalitéit feststellt.