VPN prisijungimas ir tada išpirkos reikalaujanti programa: ką pagrindžia įrodymai
Prisijungimas 02:14 ir užšifruoti failai 03:02 yra tyrimo verta seka, o ne įėjimo taškas. Laikykite atskirai autentifikavimo, sesijos ir prieglobos įrodymus.
Visa toliau remiasi hipotetiniu įrašu, sudarytu parodyti formą, o ne aprašyti realų atvejį. Jis skaitomas kaip grandinė: tinklų sietuvo autentifikavimas 02:14, darbalaukio sesija 02:19, privilegijuotos paskyros pakeitimas 02:41 ir užšifruoti failai, rasti 03:02. Pirmoji eilutė atrodo kaip atsakymas, ir ataskaita dažnai rašoma taip, tarsi ji būtų atsakymas. Prisijungimas yra įvykis, kurį užfiksavo tinklų sietuvas, o ne išvada apie tai, kaip kas nors pateko, ir šis skirtumas lemia, ką darysite toliau.
Simptomas: prisijungimas, kuris atrodo kaip atsakymas
Autentifikavimo įrašai yra lengviausiai gaunami įrodymai ir lengviausiai pervertinami. Jie rodo, kad paslauga priėmė prisijungimo duomenis tam tikru metu, iš tam tikro adreso, tam tikrai paskyrai. Jie nerodo, kas kontroliavo tuos duomenis, ar tinklų sietuvas buvo išnaudotas, ar paskyros savininko įrenginys jau buvo pažeistas.
Trys paaiškinimai tinka tai pačiai prisijungimo eilutei. Kažkas panaudojo pavogtą slaptažodį, ir tinklų sietuvas padarė būtent tai, kam sukurtas. Anksčiau pažeistas nešiojamas kompiuteris tiesiog prisijungė įprastai. Nesusijusi atvira paslauga suteikė tikrą įėjimą, o VPN sesija yra vėlesnis, atskiras to paties veikėjo veiksmas.
Kiekvienas paaiškinimas numato skirtingus įrodymus kitur aplinkoje, todėl tyrimas turi ieškoti tų prognozių, o ne patvirtinti pirmąjį tinkamą paaiškinimą. Pavogtas slaptažodis numato neįprastą autentifikavimo geografiją ar laiką. Pažeistas nešiojamas kompiuteris numato prieglobos artefaktus prieš prisijungimą. Nesusijęs įėjimo taškas numato veiklą, kuri visiškai nesusijusi su tinklų sietuvu.
Atskirkite įvykius prieš juos pasakodami
Užrašykite įvykius atskirai, kol nėra jokio pasakojimo, nes pasakojimas kviečia laiko juostą išdėstyti aplink įtariamąjį. Kiekviena eilutė turi pasakyti, ką tas įrašas įrodo, ir atskirai, ko jis vienas negali įrodyti. Tą akimirką, kai dvi eilutės susilieja į vieną sakinį, interpretacija jau laimėjo.
Atkreipkite dėmesį, kad paskutinis įvykis susijęs su aptikimu, o ne su užpuoliku. Aptikimo laikas ir pažeidimo laikas paprastai skiriasi valandomis ar savaitėmis, ir ataskaita, kuri juos sulygina, suklaidins kiekvieną skaitytoją, ateisiantį po jūsų.
Užrašykite, iš kur atsirado kiekviena laiko žyma, o ne tik ką ji sako. Rinkėjo gavimo laikas, įvykio laikas ir aptikimo laikas yra trys skirtingi skaičiai, ir tylus jų normalizavimas į vieną stulpelį yra būdas, kuriuo laiko juosta įgauna formą, kurios įrodymai niekada neturėjo.
Junkite įrašus tik ten, kur sutampa identifikatoriai
Įrašų jungimas yra hipotezė, o ne formatavimo žingsnis. Paskyros pavadinimas, priskirtas VPN adresas, tikslinė priegloba ir sesijos identifikatorius turi sutapti, kol dvi eilutės taps viena istorija. Bendras viešas adresas nepakanka, nes jis bendras pagal projektą.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lentelę skaitykite iš apačios į viršų, kai sekate įėjimą, ir iš viršaus į apačią, kai nustatote poveikio apimtį, nes abu klausimai reikalauja priešingų krypčių. Ten, kur identifikatoriai tikrai sutampa, pasakykite tai ir nurodykite abu įrašus. Ten, kur nesutampa, palikite spragą matomą, o ne uždenkite ją prielaida.
Čia taip pat klaidina pažįstamas naudotojo vardas. Tą pačią paskyrą ryte gali naudoti teisėtas savininkas, o naktį – kažkas kitas, ir vien paskyros pavadinimas negali jų atskirti. Priskirkite paskyrą, tada atskirai priskirkite asmenį, ir tik kai kažkas tai pagrindžia. Dauguma laiko juostų, kurios suyra peržiūroje, šį žingsnį padarė per greitai.
Trūkstami žurnalai yra spraga, o ne neigiamas įrodymas
Nesėkmingų slaptažodžių įvykių nebuvimas neįrodo, kad sėkmingas prisijungimas buvo teisėtas. Galiojantys pavogti prisijungimo duomenys sukuria sėkmingą autentifikavimo įrašą ir visai jokių nesėkmių, ir būtent tai daro prisijungimo duomenų vagystę patrauklią.
Panašiai šiandien uždarytas prievadas ką nors sako apie šiandieną. Jis nieko nesako apie tai, ar ta paslauga tada buvo atvira, ar tada buvo pažeidžiama, ar ji nešė ataką. Istorinė konfigūracija ir paslaugos įrodymai yra vienintelis būdas užtaisyti tą spragą.
Nurodykite spragą aiškiai ataskaitoje. „Mes neturime to intervalo įrašų“ yra apginamas sakinys; „nieko daugiau neįvyko“ – ne, ir tai jums bus cituojama atgal. Spragos taip pat turi savininkus: įvardykite sistemą, kuri turėjo sukurti įrašą, ir kodėl nesukūrė. Ši eilutė paverčia praleidimą taisymo punktu.
Rašykite išvadas tuo lygiu, kurį pagrindžia įrodymai
Derinkite išsaugojimą, izoliavimą ir atkūrimą per incidento savininką, o ne apeidami jį. CISA techninės gairės pabrėžia, kad reikia rinkti susijusius artefaktus ir žurnalus prieš taisymui keičiant tai, kas dar prieinama, ir ši tvarka svarbesnė už bet kurį atskirą įrankį.
Pakartotinai paleisti įtariamą eksploitą gyvoje įrangoje, kad užtaisytumėte spragą, neverta papildomos rizikos. Testas, parodantis, kad ataka galėjo veikti, nėra įrodymas, kad ji veikė, ir skirtumas tarp šių dviejų teiginių yra visa pratybų disciplina.
Baikite keturiais sąrašais: kas buvo pastebėta, kokius ryšius pagrindžia įrašai, kas lieka hipoteze ir kokių įrašų nėra. „Incidento metu buvo naudojama VPN paskyra“ priklauso antrajam sąrašui, kai įrašai tai pagrindžia. „VPN sukėlė išpirkos reikalaujančią programą“ niekur nepriklauso, kol kas nors nenustato priežastingumo.