VPN-ээр нэвтрэх, дараа нь золиосны програм: нотолгоо юуг дэмждэг
02:14-д нэвтрэлт, 03:02-т шифрлэгдсэн файлууд нь мөрдөн шалгах ёстой дараалал бөгөөд орох цэг биш. Баталгаажуулалт, сесс, хост-ын нотолгоог тусд нь хадгал.
Доорх бүхэн нь бодит хэргийг дүрслэх бус хэлбэрийг үзүүлэхээр угсарсан таамаглал бүртгэл ашигладаг. Үүнийг гинжин хэлхээ мэт уншина: 02:14-д гарцын баталгаажуулалт, 02:19-д ширээний сесс, 02:41-д онцгой эрхтэй бүртгэлийн өөрчлөлт, 03:02-т олдсон шифрлэгдсэн файлууд. Эхний мөр хариулт мэт харагдах бөгөөд тайланг ихэвчлэн тэгж бичдэг. Нэвтрэлт бол гарцын бүртгэсэн үйл явдал, хэн нэгэн хэрхэн орсон тухай дүгнэлт биш, энэ ялгаа нь дараа юу хийхийг чинь тодорхойлно.
Шинж тэмдэг: хариулт мэт харагдах нэвтрэлт
Баталгаажуулалтын бүртгэлүүд нь олж авахад хамгийн хялбар, хэт тайлбарлахад хамгийн хялбар нотолгоо юм. Тэд үйлчилгээ тодорхой цагт, тодорхой хаягаас, тодорхой бүртгэлд итгэмжлэл хүлээн авсныг харуулна. Тэд итгэмжлэлийг хэн удирдаж байсан, гарцыг ашигласан эсэх, эсвэл бүртгэл эзэмшигчийн төхөөрөмж аль хэдийн эвдэрсэн эсэхийг харуулахгүй.
Гурван тайлбар нэг нэвтрэлтийн мөрөнд тохирно. Хэн нэгэн хулгайлсан нууц үг ашигласан бөгөөд гарц яг зориулалтын ажлаа хийсэн. Өмнө нь эвдэрсэн зөөврийн компьютер ердийнхөөрөө нэвтэрсэн. Хамааралгүй нээлттэй үйлчилгээ бодит нэвтрэлтийг өгсөн бөгөөд VPN сесс нь мөнөөх этгээдийн дараагийн, тусдаа үйлдэл юм.
Тайлбар бүр орчны өөр газарт өөр нотолгоо урьдчилан таамагладаг тул мөрдөн шалгалт эхний тохирох тайлбарыг батлах бус, тэр таамаглалуудыг хайх ёстой. Хулгайлсан нууц үг ер бусын баталгаажуулалтын газар зүй эсвэл цагийг таамаглана. Эвдэрсэн зөөврийн компьютер нэвтрэлтийн өмнөх хост-ын олдворуудыг таамаглана. Хамааралгүй нэвтрэх цэг гарцтай огт хамаагүй үйл ажиллагааг таамаглана.
Үйл явдлыг өгүүлэхийн өмнө тусгаарла
Ямар ч өгүүлэмж үүсэхээс өмнө үйл явдлыг тус тусад нь бич, учир нь өгүүлэмж цагийн шугамыг сэжигтний эргэн тойронд эмхэтгэхийг урина. Мөр бүр тэр бүртгэл юуг тогтоох, тусдаа нь ганцаараа юуг тогтоож чадахгүйг хэлэх ёстой. Хоёр мөр нэг өгүүлбэрт нийлсэн мөчид нэг тайлбар аль хэдийн ялсан байна.
Сүүлийн үйл явдал халдагчийн тухай бус, илрүүлэлтийн тухай гэдгийг анхаар. Илрүүлсэн цаг ба эвдэрсэн цаг ихэвчлэн хэдэн цаг эсвэл долоо хоногоор зөрүүтэй байдаг бөгөөд тэдгээрийг адилтгасан тайлан чамаас хойш ирэх бүх уншигчийг төөрөгдүүлнэ.
Цаг тэмдэглэгээ бүр хаанаас ирснийг бич, зөвхөн юу гэж хэлж байгааг бус. Цуглуулагчийн хүлээн авах цаг, үйл явдлын цаг, илрүүлэлтийн цаг гэсэн гурван өөр тоо байдаг бөгөөд тэдгээрийг чимээгүйгээр нэг баганад хэвийн болгох нь цагийн шугамд нотолгоонд хэзээ ч байгаагүй хэлбэрийг өгөх арга юм.
Бүртгэлүүдийг зөвхөн таних тэмдэг таарч байгаа газарт нэгтгэ
Бүртгэлүүдийг нэгтгэх нь таамаглал, форматлах алхам биш. Бүртгэлийн нэр, олгосон VPN хаяг, зорилтот хост, сессийн таних тэмдэг хоёр мөр нэг түүх болохоос өмнө таарах ёстой. Хамтарсан нийтийн хаяг хангалтгүй, учир нь энэ нь зохион бүтээлээрээ хамтарсан.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Нэвтрэлтийг мөрдөх үед хүснэгтийг доороос дээш, нөлөөний хүрээг тодорхойлох үед дээрээс доош унш, учир нь хоёр асуултад эсрэг чиглэл хэрэгтэй. Таних тэмдэг үнэхээр таарч байгаа газарт үүнийг хэлж, хоёр бүртгэлд хоёуланд нь дурд. Таарахгүй газарт цоорхойг таамаглалаар хаахын оронд харагдахуйц үлдээ.
Энд танил хэрэглэгчийн нэр ч төөрөгдүүлдэг. Нэг бүртгэлийг өглөө хууль ёсны эзэмшигч, шөнө өөр хэн нэгэн ашиглаж болох бөгөөд зөвхөн бүртгэлийн нэр тэднийг ялгаж чадахгүй. Бүртгэлийг хамааруул, дараа нь хүнийг тусад нь хамааруул, зөвхөн ямар нэг зүйл үүнийг дэмжих үед. Хяналт шалгалтад нуран унах цагийн шугамын ихэнх нь яг энэ алхмыг хэт хурдан хийсэн.
Алга болсон лог бол цоорхой, сөрөг нотолгоо биш
Амжилтгүй нууц үгийн үйл явдал байхгүй байна гэдэг амжилттай нэвтрэлт хууль ёсны байсныг нотлохгүй. Хүчинтэй хулгайлсан итгэмжлэл амжилттай баталгаажуулалтын бүртгэл үүсгэдэг бөгөөд нэг ч алдаа үүсгэдэггүй, яг энэ нь итгэмжлэл хулгайлахыг сонирхолтой болгодог.
Мөн адил өнөөдөр хаалттай порт өнөөдрийн тухай ямар нэг зүйл хэлдэг. Тэр үйлчилгээ тухайн үед нээлттэй байсан эсэх, тухайн үед эмзэг байсан эсэх, эсвэл халдлагыг дамжуулсан эсэх тухай юу ч хэлдэггүй. Түүхэн тохиргоо болон үйлчилгээний нотолгоо л тэр цоорхойг хаах цорын ганц арга.
Тайланд цоорхойг тодорхой заа. «Бидэнд тэр интервалын бүртгэл байхгүй» гэдэг нь хамгаалах боломжтой өгүүлбэр; «өөр юу ч болоогүй» гэдэг нь тийм биш бөгөөд үүнийг чамд эш татаж буцаана. Цоорхойд эзэд ч байдаг: бүртгэлийг үүсгэх ёстой байсан системийг нэрлэж, яагаад үүсгээгүйг хэл. Тэр мөр орхигдлыг засварын зүйл болгоно.
Дүгнэлтийг нотолгооны дэмжих түвшинд бич
Хамгаалалт, хязгаарлалт, сэргээлтийг хэргийн эзэмшигчээр дамжуулан зохицуул, түүнийг тойрч бус. CISA-гийн техникийн удирдамж засвар нь үлдсэн боломжийг өөрчлөхөөс өмнө холбогдох олдвор, логыг цуглуулахыг онцолдог бөгөөд энэ дараалал аливаа нэг хэрэгслээс илүү чухал.
Цоорхойг хаахын тулд амьд тоног төхөөрөмж дээр сэжигтэй эксплойтыг дахин ажиллуулах нь нэмэгдэх эрсдэлд үнэ цэнэгүй. Халдлага ажиллаж чадна гэдгийг харуулсан туршилт ажилласан гэдгийн нотолгоо биш бөгөөд эдгээр хоёр мэдэгдлийн ялгаа нь энэ дасгалын бүх сахилга бат юм.
Дөрвөн жагсаалтаар дуусга: юу ажиглагдсан, бүртгэл ямар харилцааг дэмждэг, юу таамаглал хэвээр үлддэг, ямар бүртгэл боломжгүй. «Хэргийн үеэр VPN бүртгэл ашиглагдсан» гэдэг нь бүртгэл үүнийг дэмжих үед хоёрдугаар жагсаалтад орно. «VPN нь золиосны програмыг үүсгэсэн» гэдэг нь ямар нэг зүйл шалтгааныг тогтоох хүртэл хаана ч орохгүй.