VPN-innlogging og deretter ransomware: hva bevisene støtter

Alt nedenfor bruker en hypotetisk loggføring, satt sammen for å vise en form og ikke for å beskrive en virkelig sak. Den leses som en kjede: en gateway-autentisering klokken 02:14, en skrivebordsøkt klokken 02:19, en endring av en privilegert konto klokken 02:41 og krypterte filer funnet klokken 03:02. Den første linjen ser ut som svaret, og rapporten skrives ofte som om den er det. En innlogging er en hendelse en gateway registrerte, ikke en konklusjon om hvordan noen kom inn, og den forskjellen avgjør hva du gjør videre.

Symptomet: en innlogging som ser ut som svaret

Autentiseringslogger er de enkleste bevisene å skaffe og de enkleste å overfortolke. De viser at tjenesten godtok en legitimasjon på et tidspunkt, fra en adresse, for en konto. De viser ikke hvem som kontrollerte legitimasjonen, om gatewayen ble utnyttet, eller om kontoens eiers enhet allerede var kompromittert.

Tre forklaringer passer på samme innloggingslinje. Noen brukte et stjålet passord, og gatewayen gjorde nøyaktig det den er bygget for. En bærbar datamaskin som var kompromittert tidligere, logget ganske enkelt inn som vanlig. En urelatert eksponert tjeneste ga den egentlige inngangen, og VPN-økten er en senere, separat handling av samme aktør.

Hver forklaring forutsier ulike bevis andre steder i miljøet, derfor må undersøkelsen lete etter disse forutsigelsene og ikke etter bekreftelse av den første som passer. Et stjålet passord forutsier uvanlig autentiseringsgeografi eller -tid. En kompromittert bærbar datamaskin forutsier vertsartefakter før innloggingen. Et urelatert inngangspunkt forutsier aktivitet som ikke har noe med gatewayen å gjøre i det hele tatt.

Hold hendelsene atskilt før du forteller om dem

Skriv hendelsene ned hver for seg før noen fortelling finnes, fordi en fortelling inviterer til å ordne tidslinjen rundt en mistenkt. Hver linje skal si hva den loggføringen fastslår og, separat, hva den ikke kan fastslå alene. I det øyeblikket to linjer smelter sammen til én setning, har en tolkning allerede vunnet.

Legg merke til at den siste hendelsen handler om oppdagelse og ikke om angriperen. Oppdagelsestid og kompromitteringstid ligger rutinemessig timer eller uker fra hverandre, og en rapport som likestiller dem vil villede enhver leser som kommer etter deg.

Registrer hvor hvert tidsstempel kom fra, ikke bare hva det sier. En samlers mottakstid, en hendelsestid og en oppdagelsestid er tre forskjellige tall, og å normalisere dem stille til én kolonne er hvordan en tidslinje får en form bevisene aldri hadde.

Slå bare sammen logger der identifikatorene stemmer

Å slå sammen logger er en hypotese, ikke et formateringstrinn. Kontonavnet, den tildelte VPN-adressen, målverten og øktidentifikatoren må stemme før to rader blir én historie. En delt offentlig adresse er ikke nok, fordi den er delt av design.

Les tabellen nedenfra og opp når du sporer en inngang, og ovenfra og ned når du avgrenser påvirkningen, fordi de to spørsmålene trenger motsatte retninger. Der identifikatorene faktisk stemmer, si det og vis til begge loggene. Der de ikke gjør det, la gapet være synlig i stedet for å lukke det med en antakelse.

Her villeder også et kjent brukernavn. Den samme kontoen kan brukes av den rettmessige eieren om morgenen og av noen andre om natten, og kontonavnet alene kan ikke skille dem. Tilskriv kontoen, tilskriv deretter personen separat, og bare når noe støtter det. De fleste tidslinjer som faller fra hverandre i gjennomgang, gjorde nettopp dette trinnet for raskt.

Manglende logger er et gap, ikke et negativt bevis

Fraværet av hendelser med mislykkede passord beviser ikke at den vellykkede innloggingen var legitim. Gyldige stjålne legitimasjoner gir en vellykket autentiseringslogg og ingen feil i det hele tatt, og det er nettopp det som gjør tyveri av legitimasjon attraktivt.

På samme måte sier en port som er lukket i dag noe om i dag. Den sier ingenting om hvorvidt den tjenesten var eksponert da, hvorvidt den var sårbar da, eller hvorvidt den bar angrepet. Historisk konfigurasjon og tjenestebevis er den eneste måten å lukke det gapet.

Oppgi gapet eksplisitt i rapporten. «Vi har ingen logger for det intervallet» er en forsvarlig setning; «ingenting annet skjedde» er det ikke, og det vil bli sitert tilbake til deg. Gap har også eiere: navngi systemet som skulle ha produsert loggen, og hvorfor det ikke gjorde det. Den linjen gjør en utelatelse om til et utbedringspunkt.

Skriv funn på det nivået bevisene støtter

Koordiner bevaring, inneslutning og gjenoppretting gjennom hendelseseieren i stedet for utenom vedkommende. CISAs tekniske veiledning understreker å samle relevante artefakter og logger før utbedring endrer hva som fortsatt er tilgjengelig, og den rekkefølgen betyr mer enn noe enkelt verktøy.

Å kjøre et antatt exploit på nytt mot levende utstyr for å lukke gapet er ikke den ekstra risikoen verdt. En test som viser at et angrep kunne fungere, er ikke bevis for at det gjorde det, og forskjellen mellom de to påstandene er hele disiplinen i øvelsen.

Avslutt med fire lister: hva som ble observert, hvilke relasjoner loggene støtter, hva som forblir hypotese og hvilke logger som ikke er tilgjengelige. «En VPN-konto ble brukt under hendelsen» hører til den andre listen når loggene støtter det. «VPN forårsaket ransomware» hører ingen steder hjemme før noe fastslår årsakssammenheng.