VPN ലോഗിൻ പിന്നീട് റാൻസംവെയർ: തെളിവുകൾ എന്തിനെ പിന്തുണയ്ക്കുന്നു

ചുവടെയുള്ളതെല്ലാം ഒരു സങ്കൽപ്പിത രേഖ ഉപയോഗിക്കുന്നു, അത് യഥാർത്ഥ കേസ് വിവരിക്കാനല്ല, ഒരു രൂപം കാണിക്കാനാണ് ഒരുക്കിയത്. അത് ഒരു ശൃംഖലയായി വായിക്കുന്നു: 02:14-ന് ഗേറ്റ്വേ പ്രാമാണീകരണം, 02:19-ന് ഡെസ്ക്ടോപ്പ് സെഷൻ, 02:41-ന് പ്രത്യേകാവകാശ അക്കൗണ്ട് മാറ്റം, 03:02-ന് കണ്ടെത്തിയ എൻക്രിപ്റ്റ് ചെയ്ത ഫയലുകൾ. ആദ്യ വരി ഉത്തരം പോലെ തോന്നുന്നു, റിപ്പോർട്ട് പലപ്പോഴും അങ്ങനെയാണെന്ന പോലെ എഴുതപ്പെടുന്നു. ലോഗിൻ എന്നത് ഗേറ്റ്വേ രേഖപ്പെടുത്തിയ സംഭവമാണ്, ആരെങ്കിലും എങ്ങനെ കയറി എന്നതിനെക്കുറിച്ചുള്ള കണ്ടെത്തലല്ല, ആ വ്യത്യാസമാണ് അടുത്തതായി എന്ത് ചെയ്യണമെന്ന് തീരുമാനിക്കുന്നത്.

ലക്ഷണം: ഉത്തരം പോലെ തോന്നുന്ന ലോഗിൻ

പ്രാമാണീകരണ രേഖകൾ നേടാൻ ഏറ്റവും എളുപ്പമുള്ള തെളിവുകളും അമിതമായി വ്യാഖ്യാനിക്കാൻ ഏറ്റവും എളുപ്പമുള്ളവയുമാണ്. സേവനം ഒരു സമയത്ത്, ഒരു വിലാസത്തിൽ നിന്ന്, ഒരു അക്കൗണ്ടിനായി ഒരു ക്രെഡൻഷ്യൽ സ്വീകരിച്ചു എന്ന് അവ കാണിക്കുന്നു. ക്രെഡൻഷ്യൽ ആരാണ് നിയന്ത്രിച്ചത്, ഗേറ്റ്വേ ദുരുപയോഗം ചെയ്യപ്പെട്ടോ, അല്ലെങ്കിൽ അക്കൗണ്ട് ഉടമയുടെ ഉപകരണം നേരത്തെ തന്നെ വിട്ടുപോയതാണോ എന്ന് അവ കാണിക്കുന്നില്ല.

മൂന്ന് വിശദീകരണങ്ങൾ ഒരേ ലോഗിൻ വരിയിൽ യോജിക്കുന്നു. ആരോ മോഷ്ടിച്ച പാസ്‌വേഡ് ഉപയോഗിച്ചു, ഗേറ്റ്വേ തനിക്കായി നിർമ്മിച്ചത് കൃത്യമായി ചെയ്തു. മുമ്പ് വിട്ടുപോയ ലാപ്‌ടോപ്പ് പതിവുപോലെ ലോഗിൻ ചെയ്തു. ബന്ധമില്ലാത്ത ഒരു തുറന്ന സേവനമാണ് യഥാർത്ഥ പ്രവേശനം നൽകിയത്, VPN സെഷൻ അതേ പ്രവർത്തകന്റെ പിന്നീടുള്ള, വേറിട്ട പ്രവർത്തനമാണ്.

ഓരോ വിശദീകരണവും പരിസരത്തിന്റെ മറ്റൊരിടത്ത് വ്യത്യസ്ത തെളിവുകൾ പ്രവചിക്കുന്നു, അതിനാൽ അന്വേഷണം ആ പ്രവചനങ്ങൾ തേടണം, ആദ്യം യോജിക്കുന്ന വിശദീകരണത്തിന്റെ സ്ഥിരീകരണമല്ല. മോഷ്ടിച്ച പാസ്‌വേഡ് അസാധാരണ പ്രാമാണീകരണ ഭൂമിശാസ്ത്രമോ സമയമോ പ്രവചിക്കുന്നു. വിട്ടുപോയ ലാപ്‌ടോപ്പ് ലോഗിന് മുമ്പ് ഹോസ്റ്റ് കലാസൃഷ്ടികൾ പ്രവചിക്കുന്നു. ബന്ധമില്ലാത്ത പ്രവേശന കേന്ദ്രം ഗേറ്റ്വേയുമായി യാതൊരു ബന്ധവുമില്ലാത്ത പ്രവർത്തനം പ്രവചിക്കുന്നു.

സംഭവങ്ങൾ വിവരിക്കുന്നതിന് മുമ്പ് വേർതിരിച്ച് സൂക്ഷിക്കുക

ഏതെങ്കിലും ആഖ്യാനം ഉണ്ടാകുന്നതിന് മുമ്പ് സംഭവങ്ങൾ വെവ്വേറെ എഴുതുക, കാരണം ആഖ്യാനം സമയരേഖ സംശയിക്കുന്നയാളെ ചുറ്റി ക്രമീകരിക്കാൻ ക്ഷണിക്കുന്നു. ഓരോ വരിയും ആ രേഖ എന്ത് സ്ഥാപിക്കുന്നു, വേറിട്ട്, ഒറ്റയ്ക്ക് എന്ത് സ്ഥാപിക്കാനാവില്ല എന്ന് പറയണം. രണ്ട് വരികൾ ഒരു വാക്യത്തിൽ ലയിക്കുന്ന നിമിഷം ഒരു വ്യാഖ്യാനം ഇതിനകം വിജയിച്ചിരിക്കുന്നു.

അവസാന സംഭവം ആക്രമണകാരനെക്കുറിച്ചല്ല, കണ്ടെത്തലിനെക്കുറിച്ചാണ് എന്നത് ശ്രദ്ധിക്കുക. കണ്ടെത്തൽ സമയവും വിട്ടുപോകൽ സമയവും സാധാരണയായി മണിക്കൂറുകളോ ആഴ്ചകളോ അകലെയാണ്, അവയെ തുല്യമാക്കുന്ന റിപ്പോർട്ട് നിങ്ങൾക്ക് ശേഷം വരുന്ന ഓരോ വായനക്കാരനെയും തെറ്റിദ്ധരിപ്പിക്കും.

ഓരോ സമയമുദ്രയും എവിടെ നിന്ന് വന്നു എന്ന് രേഖപ്പെടുത്തുക, അത് എന്ത് പറയുന്നു എന്ന് മാത്രമല്ല. ശേഖരിക്കുന്നയാളുടെ സ്വീകരണ സമയം, സംഭവ സമയം, കണ്ടെത്തൽ സമയം എന്നിവ മൂന്ന് വ്യത്യസ്ത സംഖ്യകളാണ്, അവയെ നിശബ്ദമായി ഒരു കോളത്തിലേക്ക് സാധാരണവൽക്കരിക്കുന്നതാണ് തെളിവുകൾക്ക് ഒരിക്കലും ഇല്ലാതിരുന്ന ഒരു രൂപം സമയരേഖയ്ക്ക് നൽകുന്ന വഴി.

ഐഡന്റിഫയറുകൾ യോജിക്കുന്നിടത്ത് മാത്രം രേഖകൾ ചേർക്കുക

രേഖകൾ ചേർക്കുന്നത് ഒരു അനുമാനമാണ്, ഫോർമാറ്റിംഗ് ഘട്ടമല്ല. അക്കൗണ്ട് പേര്, അനുവദിച്ച VPN വിലാസം, ലക്ഷ്യ ഹോസ്റ്റ്, സെഷൻ ഐഡന്റിഫയർ എന്നിവ രണ്ട് വരികൾ ഒരു കഥയാകുന്നതിന് മുമ്പ് യോജിക്കണം. പങ്കിട്ട പൊതു വിലാസം മതിയാകില്ല, കാരണം അത് രൂപകൽപ്പനയാൽ തന്നെ പങ്കിട്ടതാണ്.

പ്രവേശനം പിന്തുടരുമ്പോൾ പട്ടിക താഴെ നിന്ന് മുകളിലേക്ക് വായിക്കുക, പ്രഭാവത്തിന്റെ പരിധി നിർണ്ണയിക്കുമ്പോൾ മുകളിൽ നിന്ന് താഴേക്ക്, കാരണം രണ്ട് ചോദ്യങ്ങൾക്കും വിപരീത ദിശകൾ വേണം. ഐഡന്റിഫയറുകൾ യഥാർത്ഥത്തിൽ യോജിക്കുന്നിടത്ത് അത് പറയുക, രണ്ട് രേഖകളും ഉദ്ധരിക്കുക. യോജിക്കാത്തിടത്ത് അനുമാനം കൊണ്ട് വിടവ് അടയ്ക്കാതെ അത് കാണാവുന്നതായി വിടുക.

ഇവിടെ പരിചിതമായ ഉപയോക്തൃനാമവും തെറ്റിദ്ധരിപ്പിക്കുന്നു. അതേ അക്കൗണ്ട് രാവിലെ നിയമാനുസൃത ഉടമയും രാത്രി മറ്റാരെങ്കിലും ഉപയോഗിച്ചേക്കാം, അക്കൗണ്ടിന്റെ പേര് മാത്രം അവരെ വേർതിരിക്കാനാവില്ല. അക്കൗണ്ട് ആരോപിക്കുക, പിന്നീട് വ്യക്തിയെ വേറിട്ട് ആരോപിക്കുക, എന്തെങ്കിലും അതിനെ പിന്തുണയ്ക്കുമ്പോൾ മാത്രം. അവലോകനത്തിൽ തകരുന്ന മിക്ക സമയരേഖകളും ഈ ഘട്ടം വളരെ വേഗത്തിൽ ചെയ്തു.

കാണാത്ത ലോഗുകൾ വിടവാണ്, നെഗറ്റീവ് തെളിവല്ല

പരാജയപ്പെട്ട പാസ്‌വേഡ് സംഭവങ്ങളുടെ അഭാവം വിജയകരമായ ലോഗിൻ നിയമാനുസൃതമായിരുന്നു എന്ന് തെളിയിക്കുന്നില്ല. സാധുവായ മോഷ്ടിച്ച ക്രെഡൻഷ്യലുകൾ ഒരു വിജയകരമായ പ്രാമാണീകരണ രേഖ സൃഷ്ടിക്കുന്നു, ഒരു പരാജയവുമില്ല, അതാണ് ക്രെഡൻഷ്യൽ മോഷണം ആകർഷകമാക്കുന്നത്.

സമാനമായി, ഇന്ന് അടച്ചിരിക്കുന്ന പോർട്ട് ഇന്നിനെക്കുറിച്ച് എന്തോ പറയുന്നു. ആ സേവനം അപ്പോൾ തുറന്നിരുന്നോ, അപ്പോൾ ദുർബലമായിരുന്നോ, അല്ലെങ്കിൽ ആക്രമണം വഹിച്ചോ എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല. ചരിത്രപരമായ കോൺഫിഗറേഷനും സേവനത്തിന്റെ തെളിവുകളും മാത്രമാണ് ആ വിടവ് അടയ്ക്കാനുള്ള വഴി.

റിപ്പോർട്ടിൽ വിടവ് വ്യക്തമായി പറയുക. «ആ ഇടവേളയ്ക്ക് ഞങ്ങൾക്ക് രേഖകളില്ല» എന്നത് പ്രതിരോധിക്കാവുന്ന ഒരു വാക്യമാണ്; «മറ്റൊന്നും സംഭവിച്ചില്ല» അല്ല, അത് നിങ്ങൾക്ക് തിരികെ ഉദ്ധരിക്കപ്പെടും. വിടവുകൾക്ക് ഉടമകളുമുണ്ട്: രേഖ സൃഷ്ടിക്കേണ്ടിയിരുന്ന സിസ്റ്റവും എന്തുകൊണ്ട് സൃഷ്ടിച്ചില്ല എന്നതും പേരെടുത്ത് പറയുക. ആ വരി ഒരു വിട്ടുപോകലിനെ തിരുത്തൽ ഇനമാക്കി മാറ്റുന്നു.

തെളിവുകൾ പിന്തുണയ്ക്കുന്ന തലത്തിൽ കണ്ടെത്തലുകൾ എഴുതുക

സംരക്ഷണം, നിയന്ത്രണം, വീണ്ടെടുക്കൽ എന്നിവ സംഭവ ഉടമയിലൂടെ ഏകോപിപ്പിക്കുക, അവരെ ഒഴിവാക്കി അല്ല. CISAയുടെ സാങ്കേതിക മാർഗ്ഗനിർദ്ദേശം പരിഹാരം ലഭ്യമായത് മാറ്റുന്നതിന് മുമ്പ് പ്രസക്തമായ കലാസൃഷ്ടികളും ലോഗുകളും ശേഖരിക്കേണ്ടതിന്റെ പ്രാധാന്യം ഊന്നിപ്പറയുന്നു, ആ ക്രമം ഏതൊരു ഒറ്റ ഉപകരണത്തെക്കാളും പ്രധാനമാണ്.

വിടവ് അടയ്ക്കാൻ ജീവനുള്ള ഉപകരണങ്ങളിൽ സംശയാസ്പദമായ എക്‌സ്‌പ്ലോയിറ്റ് വീണ്ടും പ്രവർത്തിപ്പിക്കുന്നത് അത് ചേർക്കുന്ന അപകടസാധ്യതയ്ക്ക് അർഹമല്ല. ആക്രമണം പ്രവർത്തിച്ചേക്കാം എന്ന് കാണിക്കുന്ന പരീക്ഷണം അത് പ്രവർത്തിച്ചു എന്നതിന്റെ തെളിവല്ല, ആ രണ്ട് പ്രസ്താവനകൾ തമ്മിലുള്ള വ്യത്യാസമാണ് ഈ അഭ്യാസത്തിന്റെ മുഴുവൻ അച്ചടക്കം.

നാല് പട്ടികകളോടെ അവസാനിക്കുക: എന്ത് നിരീക്ഷിച്ചു, രേഖകൾ ഏത് ബന്ധങ്ങളെ പിന്തുണയ്ക്കുന്നു, എന്ത് അനുമാനമായി തുടരുന്നു, ഏത് രേഖകൾ ലഭ്യമല്ല. «സംഭവസമയത്ത് ഒരു VPN അക്കൗണ്ട് ഉപയോഗിച്ചു» എന്നത് രേഖകൾ അതിനെ പിന്തുണയ്ക്കുമ്പോൾ രണ്ടാം പട്ടികയിൽ വരുന്നു. «VPN ആണ് റാൻസംവെയർ ഉണ്ടാക്കിയത്» എന്നത് എന്തെങ്കിലും കാര്യകാരണബന്ധം സ്ഥാപിക്കുന്നതുവരെ എവിടെയും വരുന്നില്ല.