Најава на VPN и потоа откупна програма: што поддржуваат доказите

Сѐ подолу користи хипотетички запис, составен за да покаже форма, а не да опише вистински случај. Се чита како синџир: автентикација на портата во 02:14, сесија на работна површина во 02:19, промена на привилегиран профил во 02:41 и шифрирани датотеки пронајдени во 03:02. Првата линија изгледа како одговорот, и извештајот често се пишува како да е тоа. Најавата е настан што го забележала порта, а не наод за тоа како некој влегол, и таа разлика одлучува што ќе направите потоа.

Симптомот: најава што изгледа како одговорот

Записите за автентикација се најлесните докази за добивање и најлесните за претолкување. Тие покажуваат дека услугата прифатила акредитив во одредено време, од одредена адреса, за одреден профил. Не покажуваат кој го контролирал акредитивот, дали портата била злоупотребена или дали уредот на сопственикот на профилот веќе бил компромитиран.

Три објаснувања се вклопуваат во истата линија на најава. Некој користел украдена лозинка, и портата го направила точно она за што е изградена. Претходно компромитиран преносен компјутер едноставно се најавил како и обично. Неповрзана изложена услуга го обезбедила вистинскиот влез, а VPN сесијата е подоцнежно, одделно дејство на истиот актер.

Секое објаснување предвидува различни докази на друго место во околината, затоа истрагата мора да ги бара тие предвидувања, а не потврда на првото што се вклопува. Украдената лозинка предвидува невообичаена географија или време на автентикација. Компромитираниот преносен компјутер предвидува артефакти на домаќинот пред најавата. Неповрзаната влезна точка предвидува активност што воопшто нема врска со портата.

Држете ги настаните одделно пред да ги раскажете

Запишете ги настаните одделно пред да постои каков било расказ, бидејќи расказот повикува временската линија да се подреди околу осомничен. Секоја линија треба да каже што утврдува тој запис и, одделно, што не може да утврди сам. Во моментот кога две линии се спојуваат во една реченица, една интерпретација веќе победила.

Забележете дека последниот настан се однесува на откривањето, а не на напаѓачот. Времето на откривање и времето на компромитација рутински се разликуваат за часови или недели, и извештај што ги изедначува ќе го заведе секој читател што ќе дојде по вас.

Запишете од каде доаѓа секоја временска ознака, не само што вели таа. Времето на прием кај собирачот, времето на настанот и времето на откривање се три различни броја, и нивното тивко нормализирање во една колона е начинот на кој временската линија добива форма што доказите никогаш ја немале.

Спојте записи само таму каде што идентификаторите се совпаѓаат

Спојувањето записи е хипотеза, а не чекор на форматирање. Името на профилот, доделената VPN адреса, целниот домаќин и идентификаторот на сесијата мора да се совпаѓаат пред две редови да станат една приказна. Заедничка јавна адреса не е доволна, бидејќи е заедничка по дизајн.

Читајте ја табелата одоздола нагоре кога следите влез, и одозгора надолу кога го одредувате обемот на влијанието, бидејќи двете прашања бараат спротивни насоки. Каде што идентификаторите навистина се совпаѓаат, кажете го тоа и наведете ги двата записи. Каде што не се совпаѓаат, оставете јазот видлив наместо да го затворите со претпоставка.

Овде исто така заведува познато корисничко име. Истиот профил може наутро да го користи законскиот сопственик, а ноќе некој друг, и самото име на профилот не може да ги разликува. Припишете го профилот, потоа одделно припишете ја личноста, и само кога нешто тоа го поддржува. Повеќето временски линии што се распаѓаат при преглед го направиле токму овој чекор пребрзо.

Недостапните дневници се јаз, а не негативен доказ

Отсуството на настани со неуспешна лозинка не докажува дека успешната најава била законска. Важечките украдени акредитиви создаваат успешен запис за автентикација и воопшто никакви неуспеси, и токму тоа го прави кражбата на акредитиви привлечна.

Слично, порта што е затворена денес кажува нешто за денес. Таа не кажува ништо за тоа дали таа услуга тогаш била изложена, дали тогаш била ранлива или дали го носела нападот. Историската конфигурација и доказите од услугата се единствениот начин да се затвори тој јаз.

Наведете го јазот експлицитно во извештајот. „Немаме записи за тој интервал“ е реченица што може да се брани; „ништо друго не се случи“ не е, и тоа ќе ви биде цитирано назад. Јазовите имаат и сопственици: наведете го системот што требало да го создаде записот и зошто не го сторил. Таа линија претвора пропуст во ставка за исправка.

Пишувајте наоди на нивото што го поддржуваат доказите

Координирајте зачувување, ограничување и обновување преку сопственикот на инцидентот, а не околу него. Техничките упатства на CISA нагласуваат собирање на релевантни артефакти и дневници пред исправката да го промени она што останува достапно, и тој редослед е поважен од кој било поединечен алат.

Повторното извршување на сомнителен експлоит врз жива опрема за да се затвори јазот не вреди за дополнителниот ризик. Тестот што покажува дека нападот можел да работи не е доказ дека работел, и разликата меѓу тие две тврдења е целата дисциплина на вежбата.

Завршете со четири списоци: што е забележано, какви односи поддржуваат записите, што останува хипотеза и кои записи не се достапни. „За време на инцидентот бил користен VPN профил“ припаѓа на вториот список кога записите го поддржуваат тоа. „VPN предизвикал откупна програма“ не припаѓа никаде додека нешто не утврди причинско-последична врска.