VPN लॉगिन आणि नंतर र‍ॅन्समवेअर: पुरावे कशाला दुजोरा देतात
02:14 वाजता लॉगिन आणि 03:02 वाजता एन्क्रिप्टेड फाइल्स — हा तपासण्याजोगा क्रम आहे, प्रवेशबिंदू नाही। प्रमाणीकरण, सत्र आणि होस्टचे पुरावे वेगळे ठेवा।
खालील सर्व एका काल्पनिक नोंदीचा वापर करते, जी खऱ्या प्रकरणाचे वर्णन करण्याऐवजी आकार दाखवण्यासाठी जोडली आहे। ती साखळीसारखी वाचली जाते: 02:14 वाजता गेटवे प्रमाणीकरण, 02:19 वाजता डेस्कटॉप सत्र, 02:41 वाजता विशेषाधिकारित खात्याचा बदल, आणि 03:02 वाजता सापडलेल्या एन्क्रिप्टेड फाइल्स। पहिली ओळ उत्तरासारखी वाटते, आणि अहवाल बऱ्याचदा तसेच आहे असे लिहिला जातो। लॉगिन ही गेटवेने नोंदवलेली घटना आहे, कोणी कसे आत आले याबद्दलचा निष्कर्ष नाही, आणि हाच फरक पुढे काय करावे हे ठरवतो।
लक्षण: उत्तरासारखे दिसणारे लॉगिन
प्रमाणीकरण नोंदी मिळवायला सर्वात सोपे पुरावे आहेत आणि जास्त अर्थ लावायला सर्वात सोपे आहेत। त्या दाखवतात की सेवेने एका वेळी, एका पत्त्यावरून, एका खात्यासाठी ओळखपत्र स्वीकारले। त्या दाखवत नाहीत की ओळखपत्र कोण नियंत्रित करत होते, गेटवेचा गैरवापर झाला का, किंवा खातेधारकाचे उपकरण आधीच भंग झाले होते का।
तीन स्पष्टीकरणे त्याच लॉगिन ओळीवर बसतात। कोणीतरी चोरलेला पासवर्ड वापरला, आणि गेटवेने अगदी जे करण्यासाठी ते बांधले गेले तेच केले। आधी भंग झालेला लॅपटॉप नेहमीप्रमाणेच लॉगिन झाला। एका असंबंधित उघड्या सेवेने खरा प्रवेश दिला, आणि VPN सत्र ही त्याच अभिनेत्याची नंतरची, वेगळी कृती आहे।
प्रत्येक स्पष्टीकरण वातावरणात दुसरीकडे वेगळे पुरावे अपेक्षिते, म्हणून तपासणीने ती अपेक्षिते शोधायला हवीत, पहिल्या जुळणाऱ्या स्पष्टीकरणाची पुष्टी नाही। चोरलेला पासवर्ड असामान्य प्रमाणीकरण भूगोल किंवा वेळ अपेक्षितो। भंग झालेला लॅपटॉप लॉगिनपूर्वी होस्टचे अवशेष अपेक्षितो। असंबंधित प्रवेशबिंदू गेटवेशी काहीही संबंध नसलेली क्रिया अपेक्षितो।
घटना सांगण्यापूर्वी वेगळ्या ठेवा
कोणतेही कथन तयार होण्यापूर्वी घटना वेगळ्या लिहा, कारण कथन वेळरेषा संशयिताच्या भोवती मांडायला आमंत्रण देते। प्रत्येक ओळीने सांगायला हवे की ती नोंद काय सिद्ध करते आणि वेगळे, ती एकटी काय सिद्ध करू शकत नाही। ज्या क्षणी दोन ओळी एका वाक्यात विलीन होतात, त्या क्षणी एक अर्थ लावणे आधीच जिंकले आहे।
लक्षात घ्या की शेवटची घटना हल्लेखोराबद्दल नाही, शोधाबद्दल आहे। शोधाची वेळ आणि भंगाची वेळ सहसा तास किंवा आठवड्यांनी वेगळ्या असतात, आणि जो अहवाल त्यांना समान मानतो तो तुमच्यानंतर येणाऱ्या प्रत्येक वाचकाला दिशाभूल करेल।
प्रत्येक वेळठसा कुठून आला ते नोंदवा, तो काय सांगतो एवढेच नाही। संग्राहकाची प्राप्ती वेळ, घटनेची वेळ आणि शोधाची वेळ या तीन वेगळ्या संख्या आहेत, आणि त्यांना शांतपणे एका स्तंभात सामान्य करणे हाच वेळरेषेला पुराव्यांकडे कधीच नसलेला आकार मिळवून देण्याचा मार्ग।
ओळखी जुळतात तिथेच नोंदी जोडा
नोंदी जोडणे हे गृहीतक आहे, स्वरूपणाची पायरी नाही। खात्याचे नाव, दिलेला VPN पत्ता, लक्ष्य होस्ट आणि सत्र ओळख दोन ओळी एक कथा होण्यापूर्वी जुळायला हव्यात। सामायिक सार्वजनिक पत्ता पुरत नाही, कारण तो रचनेनुसारच सामायिक आहे।
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
प्रवेशाचा मागोवा घेताना तक्ता खालून वर वाचा, आणि परिणामाचा व्याप ठरवताना वरून खाली, कारण दोन्ही प्रश्नांना विरुद्ध दिशा हव्यात। जिथे ओळखी खरोखर जुळतात तिथे तसे सांगा आणि दोन्ही नोंदींचा दाखला द्या। जिथे जुळत नाहीत तिथे गृहीतकाने अंतर बंद करण्याऐवजी ते दिसू दे।
इथेच परिचित वापरकर्तानाव दिशाभूल करते। तेच खाते सकाळी कायदेशीर धारक आणि रात्री दुसरा कोणी वापरू शकतो, आणि फक्त खात्याचे नाव त्या दोघांना वेगळे करू शकत नाही। खात्याला आरोपित करा, नंतर व्यक्तीला वेगळे आरोपित करा, आणि काही ते पुराव्याने सांगत असेल तरच। पुनरावलोकनात कोसळणाऱ्या बहुतेक वेळरेषांनी नेमकी ही पायरी खूप घाईत केली होती।
गहाळ लॉग हे अंतर आहेत, नकारात्मक पुरावा नाही
अयशस्वी पासवर्डच्या घटना नसणे हे सिद्ध करत नाही की यशस्वी लॉगिन कायदेशीर होते। वैध चोरलेली ओळखपत्रे यशस्वी प्रमाणीकरण नोंद देतात आणि एकही अपयश देत नाहीत, आणि नेमके हेच ओळखपत्र चोरी आकर्षक बनवते।
त्याचप्रमाणे, आज बंद असलेला पोर्ट आजबद्दल काहीतरी सांगतो। ती सेवा तेव्हा उघडी होती का, तेव्हा कमकुवत होती का, किंवा तिने हल्ला वाहून नेला का, याबद्दल तो काहीही सांगत नाही। ऐतिहासिक संरचना आणि सेवेचे पुरावे हाच ते अंतर भरण्याचा एकमेव मार्ग आहे।
अहवालात अंतर स्पष्टपणे नमूद करा। “त्या कालावधीसाठी आमच्याकडे नोंदी नाहीत” हे समर्थनीय वाक्य आहे; “दुसरे काही घडले नाही” नाही, आणि ते तुम्हाला परत उद्धृत केले जाईल। अंतरांना मालकही असतात: नोंद तयार करायला हवी होती ती प्रणाली आणि का केली नाही हे सांगा। ती ओळ वगळण्याचे दुरुस्तीच्या बाबीत रूपांतर करते।
निष्कर्ष पुरावे ज्या पातळीला दुजोरा देतात त्या पातळीवर लिहा
संरक्षण, प्रतिबंध आणि पुनर्प्राप्ती घटना-मालकामार्फत समन्वयित करा, त्यांना बाजूला करून नाही। CISAचे तांत्रिक मार्गदर्शन दुरुस्तीने उपलब्ध असलेले बदलण्यापूर्वी संबंधित कलाकृती आणि लॉग गोळा करण्यावर भर देते, आणि तो क्रम कोणत्याही एका साधनापेक्षा महत्त्वाचा आहे।
अंतर भरण्यासाठी जिवंत उपकरणांवर संशयित एक्सप्लॉइट पुन्हा चालवणे त्यातील जोखमीला योग्य नाही। हल्ला चालू शकला असता हे दाखवणारी चाचणी तो चालला याचा पुरावा नाही, आणि या दोन विधानांतील फरक हाच या सरावाचा सर्व अनुशासन आहे।
चार याद्यांनी समाप्त करा: काय पाहिले गेले, नोंदी कोणते संबंध पुरवतात, काय गृहीतक राहते आणि कोणत्या नोंदी उपलब्ध नाहीत। “घटनेदरम्यान VPN खाते वापरले गेले” दुसऱ्या यादीत येते जेव्हा नोंदी त्याला दुजोरा देतात। “VPN ने र‍ॅन्समवेअर निर्माण केले” कुठेही येत नाही जोपर्यंत काही कार्यकारण सिद्ध करत नाही।