Dħul fil-VPN u mbagħad ransomware: x’jappoġġjaw il-provi
Dħul fis-02:14 u fajls imċifrin fit-03:02 hija sekwenza li jistħoqqilha investigazzjoni, mhux punt tad-dħul. Żomm il-provi tal-awtentikazzjoni, tas-sessjoni u tal-host separati.
Kollox hawn taħt juża rekord ipotetiku, magħmul biex juri forma u mhux biex jiddeskrivi każ reali. Jinqara bħal katina: awtentikazzjoni tal-gateway fis-02:14, sessjoni tad-desktop fis-02:19, bidla f’kont privileġġjat fis-02:41 u fajls imċifrin li nstabu fit-03:02. L-ewwel linja tidher bħala t-tweġiba, u r-rapport spiss jinkiteb bħallikieku hi t-tweġiba. Id-dħul huwa avveniment li rreġistra gateway, mhux konklużjoni dwar kif xi ħadd daħal, u dik id-differenza tiddetermina x’tagħmel wara.
Is-sintomu: dħul li jidher bħat-tweġiba
Rekordji tal-awtentikazzjoni huma l-eħfef provi li tinkiseb u l-eħfef li jiġu interpretati żżejjed. Huma juru li s-servizz aċċetta kredenzjali f’ħin, minn indirizz, għal kont. Ma jurux min kien jikkontrolla l-kredenzjali, jekk il-gateway ġiex sfruttat, jew jekk l-apparat tas-sid tal-kont kienx diġà kompromess.
Tliet spjegazzjonijiet jaqblu mal-istess linja tad-dħul. Xi ħadd uża password misruqa, u l-gateway għamel eżattament dak li nbniet għalih. Laptop li kien kompromess qabel sempliċement daħal bħas-soltu. Servizz espost mhux relatat ipprovda d-dħul veru, u s-sessjoni VPN hija azzjoni aktar tard, separata mill-istess attur.
Kull spjegazzjoni tipprevedi provi differenti f’postijiet oħra fl-ambjent, u għalhekk l-investigazzjoni trid tfittex dawk il-previżjonijiet u mhux konferma tal-ewwel waħda li taqbel. Password misruqa tipprevedi ġeografija jew ħin ta’ awtentikazzjoni mhux tas-soltu. Laptop kompromess jipprevedi artefatti tal-host qabel id-dħul. Punt tad-dħul mhux relatat jipprevedi attività li m’għandha x’taqsam xejn mal-gateway.
Żomm l-avvenimenti separati qabel ma tirrakkontahom
Ikteb l-avvenimenti separatament qabel ma teżisti xi narrativa, għax narrativa tistieden li l-linja tal-ħin tiġi rranġata madwar suspettat. Kull linja għandha tgħid x’tistabbilixxi dak ir-rekord u, separatament, x’ma tistax tistabbilixxi waħedha. Fil-mument li żewġ linji jingħaqdu f’sentenza waħda, interpretazzjoni diġà rebħet.
Innota li l-aħħar avveniment jirrigwarda l-iskoperta u mhux lill-attakkant. Il-ħin tal-iskoperta u l-ħin tal-kompromess huma tas-soltu mifruda b’sigħat jew ġimgħat, u rapport li jqiegħedhom fuq l-istess livell iqarraq b’kull qarrej li jiġi warajk.
Irreġistra minn fejn ġie kull timbrejk, mhux biss x’jgħid. Il-ħin tal-wasla tal-kollettur, il-ħin tal-avveniment u l-ħin tal-iskoperta huma tliet numri differenti, u l-normalizzazzjoni siekta tagħhom f’kolonna waħda hija kif il-linja tal-ħin takkwista forma li l-provi qatt ma kellhom.
Għaqqad rekords biss fejn l-identifikaturi jaqblu
L-għaqda tar-rekords hija ipoteżi, mhux pass ta’ formattjar. L-isem tal-kont, l-indirizz VPN assenjat, il-host fil-mira u l-identifikatur tas-sessjoni jridu jaqblu qabel ma żewġ ringieli jsiru storja waħda. Indirizz pubbliku kondiviż mhuwiex biżżejjed, għax huwa kondiviż bid-disinn.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Aqra t-tabella mill-baxx għall-fuq meta tkun qed issib triqat dħul, u mill-fuq għall-baxx meta tkun qed tiskopri l-impatt, għax iż-żewġ mistoqsijiet jeħtieġu direzzjonijiet opposti. Fejn l-identifikaturi verament jaqblu, għid hekk u ċċita ż-żewġ rekords. Fejn ma jaqblux, ħalli l-vojt jidher minflok ma tagħlqu b’suppożizzjoni.
Hawn ukoll l-isem tal-utent familjari jqarraq. L-istess kont jista’ jużah is-sid legittimu filgħodu u xi ħadd ieħor bil-lejl, u l-isem tal-kont waħdu ma jistax jiddistingwihom. Attribwixxi l-kont, imbagħad attribwixxi l-persuna separatament, u biss meta xi ħaġa tappoġġja dan. Il-biċċa l-kbira tal-linji tal-ħin li jċedu fir-reviżjoni għamlu eżattament dan il-pass malajr wisq.
Ir-rekords neqsin huma vojt, mhux prova negattiva
In-nuqqas ta’ avvenimenti ta’ password falluta ma jippruvax li d-dħul li rnexxa kien legittimu. Kredenzjali misruqa validi jipproduċu rekord ta’ awtentikazzjoni li rnexxa u ebda falliment, u dan huwa eżattament dak li jagħmel is-serq tal-kredenzjali attraenti.
Bl-istess mod, port magħluq illum jgħid xi ħaġa dwar illum. Ma jgħid xejn dwar jekk dak is-servizz kienx espost dakinhar, jekk kienx vulnerabbli dakinhar, jew jekk ġarrix l-attakk. Il-konfigurazzjoni storika u l-provi tas-servizz huma l-uniku mod kif dan il-vojt jingħalaq.
Irrapporta l-vojt b’mod espliċitu. «M’għandniex rekords għal dak l-intervall» hija sentenza difendibbli; «ma ġara xejn ieħor» mhijiex, u se tiġi kkwotata lura lejk. Il-vojt għandu sidien ukoll: semmi s-sistema li kellha tipproduċi r-rekord u għala ma pproduċietx. Dik il-linja tbiddel ommissjoni f’punt ta’ rimedju.
Ikteb is-sejbiet fil-livell li jappoġġjaw il-provi
Ikkordina l-preservazzjoni, il-konteniment u l-irkupru permezz tas-sid tal-inċident u mhux tieħu dawra miegħu. Il-gwida teknika tas-CISA tisħaq fuq il-ġbir ta’ artefatti u rekords rilevanti qabel ma r-rimedju jbiddel dak li jibqa’ disponibbli, u dan l-ordni huwa aktar importanti minn kwalunkwe għodda waħda.
Li terġa’ tħaddem exploit suspettat fuq tagħmir ħaj biex tagħlaq il-vojt mhijiex tiswa r-riskju miżjud. Test li juri li attakk seta’ jaħdem mhuwiex prova li ħaħdem, u d-differenza bejn dawn iż-żewġ stqarrijiet hija kollha d-dixxiplina ta’ dan l-eżerċizzju.
Iġġemel b’erba’ listi: x’ġie osservat, liema relazzjonijiet jappoġġjaw ir-rekords, x’jibqa’ ipoteżi u liema rekords mhumiex disponibbli. «Kont VPN intuża waqt l-inċident» jappartjeni għat-tieni lista meta r-rekords jappoġġjaw dan. «Il-VPN ikkawża r-ransomware» ma jappartjeni mkien sakemm xi ħaġa tistabbilixxi l-kawżalità.