VPN pieteikšanās un pēc tam izpirkuma programmatūra: ko pamato pierādījumi
Pieteikšanās 02:14 un šifrēti faili 03:02 ir izmeklēšanas vērta secība, nevis ieejas punkts. Turiet atsevišķi autentifikācijas, sesijas un resursdatora pierādījumus.
Viss turpmāk izmanto hipotētisku ierakstu, kas salikts, lai parādītu formu, nevis aprakstītu reālu gadījumu. To lasa kā ķēdi: vārtejas autentifikācija 02:14, darbvirsmas sesija 02:19, priviliģēta konta maiņa 02:41 un šifrēti faili, kas atrasti 03:02. Pirmā rinda izskatās kā atbilde, un ziņojums bieži tiek rakstīts tā, it kā tā būtu atbilde. Pieteikšanās ir notikums, ko vārteja reģistrēja, nevis secinājums par to, kā kāds iekļuva, un šī atšķirība nosaka, ko darīsiet tālāk.
Simptoms: pieteikšanās, kas izskatās kā atbilde
Autentifikācijas ieraksti ir visvieglāk iegūstamie pierādījumi un visvieglāk pārvērtējamie. Tie parāda, ka pakalpojums pieņēma akreditācijas datus noteiktā laikā, no noteiktas adreses, noteiktam kontam. Tie neparāda, kas kontrolēja akreditācijas datus, vai vārteja tika izmantota ļaunprātīgi, vai konta īpašnieka ierīce jau bija apdraudēta.
Trīs skaidrojumi atbilst vienai un tai pašai pieteikšanās rindai. Kāds izmantoja nozagtu paroli, un vārteja izdarīja tieši to, kam tā ir būvēta. Iepriekš apdraudēts portatīvais dators vienkārši pieteicās kā parasti. Nesaistīts atvērts pakalpojums nodrošināja īsto ieeju, un VPN sesija ir vēlāka, atsevišķa tā paša dalībnieka darbība.
Katrs skaidrojums paredz atšķirīgus pierādījumus citur vidē, tāpēc izmeklēšanai jāmeklē šīs prognozes, nevis pirmā piemērotā skaidrojuma apstiprinājums. Nozagta parole paredz neparastu autentifikācijas ģeogrāfiju vai laiku. Apdraudēts portatīvais dators paredz resursdatora artefaktus pirms pieteikšanās. Nesaistīts ieejas punkts paredz darbību, kam ar vārteju nav nekāda sakara.
Turiet notikumus atsevišķi, pirms tos stāstāt
Pierakstiet notikumus atsevišķi, pirms pastāv jebkurš stāstījums, jo stāstījums aicina laika līniju sakārtot ap aizdomās turamo. Katrai rindai jāsaka, ko šis ieraksts nosaka, un atsevišķi, ko tas viens pats noteikt nevar. Mirklī, kad divas rindas saplūst vienā teikumā, interpretācija jau ir uzvarējusi.
Ievērojiet, ka pēdējais notikums attiecas uz atklāšanu, nevis uzbrucēju. Atklāšanas laiks un apdraudējuma laiks parasti atšķiras par stundām vai nedēļām, un ziņojums, kas tos pielīdzina, maldinās katru lasītāju, kas nāks pēc jums.
Pierakstiet, no kurienes nāca katrs laika zīmogs, ne tikai to, ko tas saka. Vācēja saņemšanas laiks, notikuma laiks un atklāšanas laiks ir trīs dažādi skaitļi, un to klusa normalizēšana vienā kolonnā ir veids, kā laika līnija iegūst formu, kāda pierādījumiem nekad nav bijusi.
Savienojiet ierakstus tikai tur, kur identifikatori sakrīt
Ierakstu apvienošana ir hipotēze, nevis formatēšanas solis. Konta nosaukumam, piešķirtajai VPN adresei, mērķa resursdatoram un sesijas identifikatoram jāsakrīt, pirms divas rindas kļūst par vienu stāstu. Kopīga publiska adrese nav pietiekama, jo tā ir kopīga pēc dizaina.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lasiet tabulu no apakšas uz augšu, kad izsekojat ieeju, un no augšas uz leju, kad nosakāt ietekmes apjomu, jo abiem jautājumiem vajadzīgi pretēji virzieni. Tur, kur identifikatori patiešām sakrīt, pasakiet to un atsaucieties uz abiem ierakstiem. Tur, kur tie nesakrīt, atstājiet plaisu redzamu, nevis aizveriet to ar pieņēmumu.
Šeit arī maldina pazīstams lietotājvārds. Vienu un to pašu kontu no rīta var izmantot likumīgais īpašnieks, bet naktī kāds cits, un tikai konta nosaukums tos nevar atšķirt. Attieciniet kontu, pēc tam atsevišķi attieciniet personu, un tikai tad, kad kaut kas to pamato. Lielākā daļa laika līniju, kas pārskatā sabrūk, šo soli izdarīja pārāk ātri.
Trūkstošie žurnāli ir plaisa, nevis negatīvs pierādījums
Neveiksmīgu paroļu notikumu neesamība nepierāda, ka veiksmīgā pieteikšanās bija likumīga. Derīgi nozagti akreditācijas dati rada veiksmīgu autentifikācijas ierakstu un nemaz neveiksmes, un tieši tas padara akreditācijas datu zādzību pievilcīgu.
Tāpat šodien aizvērts ports kaut ko saka par šodienu. Tas neko nesaka par to, vai tas pakalpojums toreiz bija atvērts, vai toreiz bija ievainojams, vai tas nesa uzbrukumu. Vēsturiskā konfigurācija un pakalpojuma pierādījumi ir vienīgais veids, kā aizvērt šo plaisu.
Norādiet plaisu skaidri ziņojumā. „Mums nav ierakstu par šo intervālu“ ir aizstāvams teikums; „nekas cits nenotika“ nav, un tas jums tiks citēts atpakaļ. Plaisām ir arī īpašnieki: nosauciet sistēmu, kurai vajadzēja radīt ierakstu, un kāpēc tā to neizdarīja. Šī rinda pārvērš izlaidumu labojuma punktā.
Rakstiet secinājumus tādā līmenī, kādu pamato pierādījumi
Koordinējiet saglabāšanu, ierobežošanu un atjaunošanu caur incidenta īpašnieku, nevis apejot viņu. CISA tehniskās vadlīnijas uzsver attiecīgu artefaktu un žurnālu vākšanu pirms labošana maina to, kas vēl ir pieejams, un šī secība ir svarīgāka par jebkuru atsevišķu rīku.
Atkārtoti palaist aizdomīgu ekspluatāciju uz dzīvas aparatūras, lai aizvērtu plaisu, nav tā papildu riska vērts. Tests, kas parāda, ka uzbrukums varēja strādāt, nav pierādījums, ka tas strādāja, un atšķirība starp šiem diviem apgalvojumiem ir visa vingrinājuma disciplīna.
Beidziet ar četriem sarakstiem: kas tika novērots, kādas attiecības pamato ieraksti, kas paliek hipotēze un kādi ieraksti nav pieejami. „Incidenta laikā tika izmantots VPN konts“ pieder otrajam sarakstam, kad ieraksti to pamato. „VPN izraisīja izpirkuma programmatūru“ nekur nepieder, kamēr kaut kas nenosauc cēloņsakarību.