Log masuk VPN kemudian ransomware: apa yang disokong bukti

Semua di bawah menggunakan rekod hipotetikal, disusun untuk menunjukkan bentuk dan bukan untuk menerangkan kes sebenar. Ia dibaca seperti rantaian: pengesahan gerbang pada 02:14, sesi desktop pada 02:19, perubahan akaun istimewa pada 02:41, dan fail disulitkan yang ditemui pada 03:02. Baris pertama kelihatan seperti jawapannya, dan laporan sering ditulis seolah-olah begitulah. Log masuk ialah peristiwa yang direkodkan gerbang, bukan penemuan tentang bagaimana seseorang masuk, dan perbezaan itulah yang menentukan apa yang anda lakukan seterusnya.

Gejala: log masuk yang kelihatan seperti jawapan

Rekod pengesahan ialah bukti paling mudah diperoleh dan paling mudah ditafsir berlebihan. Ia menunjukkan bahawa perkhidmatan menerima kredensial pada sesuatu masa, dari sesuatu alamat, untuk sesuatu akaun. Ia tidak menunjukkan siapa yang mengawal kredensial itu, sama ada gerbang dieksploitasi, atau sama ada peranti pemilik akaun sudah diceroboh.

Tiga penjelasan sesuai dengan baris log masuk yang sama. Seseorang menggunakan kata laluan curian, dan gerbang melakukan tepat apa yang direka untuknya. Komputer riba yang diceroboh lebih awal hanya log masuk seperti biasa. Perkhidmatan terdedah yang tidak berkaitan menyediakan pintu masuk sebenar, dan sesi VPN ialah tindakan kemudian yang berasingan oleh pelaku yang sama.

Setiap penjelasan meramalkan bukti berbeza di tempat lain dalam persekitaran, kerana itu siasatan mesti mencari ramalan tersebut dan bukan pengesahan penjelasan pertama yang sesuai. Kata laluan curian meramalkan geografi atau masa pengesahan yang luar biasa. Komputer riba yang diceroboh meramalkan artifak hos sebelum log masuk. Titik masuk yang tidak berkaitan meramalkan aktiviti yang langsung tiada kaitan dengan gerbang.

Asingkan peristiwa sebelum menceritakannya

Tulis peristiwa secara berasingan sebelum wujud apa-apa naratif, kerana naratif mengajak garis masa disusun mengelilingi seorang suspek. Setiap baris harus menyatakan apa yang dibuktikan oleh rekod itu dan, secara berasingan, apa yang tidak dapat dibuktikannya sendiri. Pada saat dua baris bergabung menjadi satu ayat, satu tafsiran sudah menang.

Perhatikan bahawa peristiwa terakhir berkaitan pengesanan, bukan penyerang. Masa penemuan dan masa pencabulan biasanya terpisah berjam-jam atau berminggu-minggu, dan laporan yang menyamakan keduanya akan mengelirukan setiap pembaca yang datang selepas anda.

Catat dari mana setiap cap masa datang, bukan hanya apa yang dikatakannya. Masa penerimaan pengumpul, masa peristiwa dan masa pengesanan ialah tiga nombor berbeza, dan menormalkannya secara senyap ke dalam satu lajur ialah cara garis masa memperoleh bentuk yang tidak pernah dimiliki bukti.

Gabungkan rekod hanya di tempat pengecam sepadan

Menggabungkan rekod ialah hipotesis, bukan langkah pemformatan. Nama akaun, alamat VPN yang diperuntukkan, hos sasaran dan pengecam sesi mesti sepadan sebelum dua baris menjadi satu cerita. Alamat awam yang dikongsi tidak mencukupi, kerana ia dikongsi mengikut reka bentuk.

Baca jadual dari bawah ke atas apabila menjejaki pintu masuk, dan dari atas ke bawah apabila menetapkan skop kesan, kerana kedua-dua soalan memerlukan arah yang bertentangan. Di tempat pengecam benar-benar sepadan, nyatakan demikian dan rujuk kedua-dua rekod. Di tempat ia tidak sepadan, biarkan jurang kelihatan dan bukannya menutupnya dengan andaian.

Di sinilah nama pengguna yang biasa juga mengelirukan. Akaun yang sama boleh digunakan oleh pemilik sah pada waktu pagi dan oleh orang lain pada waktu malam, dan nama akaun sahaja tidak dapat membezakan mereka. Atributkan akaun, kemudian atributkan orang itu secara berasingan, dan hanya apabila sesuatu menyokongnya. Kebanyakan garis masa yang runtuh dalam semakan melakukan langkah ini terlalu cepat.

Log yang hilang ialah jurang, bukan bukti negatif

Ketiadaan peristiwa kata laluan gagal tidak membuktikan bahawa log masuk yang berjaya itu sah. Kredensial curian yang sah menghasilkan rekod pengesahan yang berjaya dan langsung tiada kegagalan, dan itulah yang menjadikan kecurian kredensial menarik.

Begitu juga, port yang tertutup hari ini mengatakan sesuatu tentang hari ini. Ia tidak mengatakan apa-apa tentang sama ada perkhidmatan itu terdedah ketika itu, sama ada ia terdedah kepada kelemahan ketika itu, atau sama ada ia membawa serangan itu. Konfigurasi sejarah dan bukti perkhidmatan ialah satu-satunya cara menutup jurang itu.

Nyatakan jurang itu secara eksplisit dalam laporan. «Kami tiada rekod untuk selang itu» ialah ayat yang boleh dipertahankan; «tiada perkara lain berlaku» bukan, dan ia akan dipetik kembali kepada anda. Jurang juga mempunyai pemilik: namakan sistem yang sepatutnya menghasilkan rekod itu dan mengapa ia tidak berbuat demikian. Baris itu mengubah ketinggalan menjadi item pembetulan.

Tulis penemuan pada tahap yang disokong bukti

Selaraskan pemeliharaan, pembendungan dan pemulihan melalui pemilik insiden, bukan di sekelilingnya. Panduan teknikal CISA menekankan pengumpulan artifak dan log berkaitan sebelum pembetulan mengubah apa yang masih tersedia, dan urutan itu lebih penting daripada mana-mana alat tunggal.

Menjalankan semula eksploit yang disyaki terhadap peralatan hidup untuk menutup jurang itu tidak berbaloi dengan risiko yang ditambahnya. Ujian yang menunjukkan serangan boleh berjaya bukan bukti bahawa ia berjaya, dan perbezaan antara kedua-dua kenyataan itu ialah seluruh disiplin latihan ini.

Akhiri dengan empat senarai: apa yang diperhatikan, hubungan apa yang disokong rekod, apa yang kekal hipotesis dan rekod apa yang tidak tersedia. «Akaun VPN digunakan semasa insiden» tergolong dalam senarai kedua apabila rekod menyokongnya. «VPN menyebabkan ransomware» tidak tergolong di mana-mana sehingga sesuatu menetapkan sebab-akibat.