VPN लगइन र त्यसपछि र्यान्समवेयर: प्रमाणले के समर्थन गर्छ
02:14 मा लगइन र 03:02 मा इन्क्रिप्ट गरिएका फाइलहरू — यो अनुसन्धान गर्न लायक क्रम हो, प्रवेश बिन्दु होइन। प्रमाणीकरण, सत्र र होस्टका प्रमाणहरू अलग राख्नुहोस्।
तलको सबै कुराले एउटा काल्पनिक अभिलेख प्रयोग गर्छ, जुन वास्तविक घटना वर्णन गर्न होइन, एउटा आकार देखाउन जोडिएको हो। यो साङ्लोजस्तो पढिन्छ: 02:14 मा गेटवे प्रमाणीकरण, 02:19 मा डेस्कटप सत्र, 02:41 मा विशेषाधिकार प्राप्त खाताको परिवर्तन, र 03:02 मा भेटिएका इन्क्रिप्ट गरिएका फाइलहरू। पहिलो पङ्क्ति उत्तरजस्तो देखिन्छ, र रिपोर्ट प्रायः त्यस्तै हो भनेर लेखिन्छ। लगइन गेटवेले अभिलेख गरेको घटना हो, कोही कसरी भित्र पस्यो भन्ने निष्कर्ष होइन, र यही भिन्नताले अब के गर्ने भन्ने निर्धारण गर्छ।
लक्षण: उत्तरजस्तो देखिने लगइन
प्रमाणीकरण अभिलेखहरू पाउन सबैभन्दा सजिलो प्रमाण हुन् र अत्यधिक अर्थ लगाउन पनि सबैभन्दा सजिलो। तिनीहरूले सेवाले कुनै समयमा, कुनै ठेगानाबाट, कुनै खाताका लागि प्रमाणपत्र स्वीकार गरेको देखाउँछन्। तिनीहरूले प्रमाणपत्र कसले नियन्त्रण गरिरहेको थियो, गेटवेको दुरुपयोग भयो कि भएन, वा खाताधारकको उपकरण पहिले नै क्षतिग्रस्त थियो कि भएन भन्ने देखाउँदैनन्।
तीन व्याख्या एउटै लगइन पङ्क्तिमा मिल्छन्। कसैले चोरिएको पासवर्ड प्रयोग गर्यो, र गेटवेले ठ्याक्कै त्यही गर्यो जसका लागि बनाइएको थियो। पहिले क्षतिग्रस्त भएको ल्यापटप सामान्य रूपमै लगइन भयो। कुनै असम्बन्धित खुला सेवाले वास्तविक प्रवेश दियो, र VPN सत्र त्यही अभिनेताको पछिको, छुट्टै कार्य हो।
प्रत्येक व्याख्याले वातावरणको अन्यत्र फरक प्रमाण अनुमान गर्छ, त्यसैले अनुसन्धानले ती अनुमानहरू खोज्नुपर्छ, पहिलो मिल्ने व्याख्याको पुष्टि होइन। चोरिएको पासवर्डले असामान्य प्रमाणीकरण भूगोल वा समय अनुमान गर्छ। क्षतिग्रस्त ल्यापटपले लगइनअघि होस्टका अवशेष अनुमान गर्छ। असम्बन्धित प्रवेश बिन्दुले गेटवेसँग कुनै सम्बन्ध नभएको गतिविधि अनुमान गर्छ।
घटनाहरू वर्णन गर्नुअघि अलग राख्नुहोस्
कुनै पनि कथावाचन बन्नुअघि घटनाहरू अलग-अलग लेख्नुहोस्, किनकि कथावाचनले समयरेखा संदिग्धको वरिपरि मिलाउन आमन्त्रण गर्छ। प्रत्येक पङ्क्तिले त्यो अभिलेखले के स्थापित गर्छ र अलग रूपमा, एक्लै के स्थापित गर्न सक्दैन भन्नुपर्छ। जुन क्षण दुई पङ्क्ति एउटै वाक्यमा मिल्छन्, त्यही क्षण एउटा व्याख्या पहिले नै जितिसकेको हुन्छ।
अन्तिम घटना आक्रमणकारीको बारेमा होइन, पत्ता लगाउने बारेमा हो भन्ने ध्यान दिनुहोस्। पत्ता लाग्ने समय र क्षति हुने समय सामान्यतया घण्टा वा हप्ताको फरकमा हुन्छन्, र तिनलाई समान मान्ने रिपोर्टले तपाईंपछि आउने हरेक पाठकलाई भ्रमित गर्नेछ।
प्रत्येक समयचिह्न कहाँबाट आयो लेख्नुहोस्, यो के भन्छ भन्ने मात्र होइन। सङ्ग्राहकको प्राप्ति समय, घटनाको समय र पत्ता लाग्ने समय तीन फरक सङ्ख्या हुन्, र तिनलाई चुपचाप एउटै स्तम्भमा सामान्य बनाउनु नै समयरेखाले प्रमाणसँग कहिल्यै नभएको आकार पाउने तरिका हो।
पहिचानकर्ता मिल्ने ठाउँमा मात्र अभिलेख जोड्नुहोस्
अभिलेख जोड्नु एउटा परिकल्पना हो, ढाँचा मिलाउने चरण होइन। खाताको नाम, तोकिएको VPN ठेगाना, लक्ष्य होस्ट र सत्र पहिचानकर्ता दुई पङ्क्ति एउटा कथा बन्नुअघि मिल्नुपर्छ। साझा सार्वजनिक ठेगाना पर्याप्त हुँदैन, किनकि त्यो डिजाइनले नै साझा हुन्छ।
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
प्रवेशको पछि लाग्दा तालिका तलदेखि माथि पढ्नुहोस्, र प्रभावको दायरा तोक्दा माथिदेखि तल, किनकि दुवै प्रश्नलाई विपरीत दिशा चाहिन्छ। पहिचानकर्ता साँच्चै मिल्ने ठाउँमा त्यो भन्नुहोस् र दुवै अभिलेख उद्धृत गर्नुहोस्। नमिल्ने ठाउँमा अनुमानले खाडल बन्द गर्नुको सट्टा देखिने गरी छोड्नुहोस्।
यहीँ परिचित प्रयोगकर्ता नामले पनि भ्रमित गर्छ। एउटै खाता बिहान वैध धारकले र रातमा अरू कसैले प्रयोग गर्न सक्छ, र खाताको नाम मात्रले तिनलाई छुट्याउन सक्दैन। खातालाई आरोपित गर्नुहोस्, त्यसपछि व्यक्तिलाई अलग रूपमा आरोपित गर्नुहोस्, र केहीले त्यसलाई समर्थन गरेमा मात्र। समीक्षामा छरिने अधिकांश समयरेखाले ठ्याक्कै यही चरण धेरै छिटो गरेका थिए।
हराएका लग खाडल हुन्, नकारात्मक प्रमाण होइनन्
असफल पासवर्डका घटना नहुनुले सफल लगइन वैध थियो भन्ने प्रमाणित गर्दैन। वैध चोरिएका प्रमाणपत्रहरूले सफल प्रमाणीकरण अभिलेख दिन्छन् र एक पनि असफलता दिँदैनन्, र यही कुराले प्रमाणपत्र चोरी आकर्षक बनाउँछ।
त्यस्तै, आज बन्द पोर्टले आजको बारेमा केही भन्छ। त्यो सेवा त्यतिबेला खुला थियो कि थिएन, त्यतिबेला कमजोर थियो कि थिएन, वा त्यसले आक्रमण बोक्यो कि बोकेन भन्नेबारे यसले केही भन्दैन। ऐतिहासिक कन्फिगरेसन र सेवाका प्रमाणहरू मात्र त्यो खाडल बन्द गर्ने एक मात्र उपाय हुन्।
रिपोर्टमा खाडल स्पष्ट रूपमा उल्लेख गर्नुहोस्। «त्यो अवधिका लागि हामीसँग कुनै अभिलेख छैन» भन्ने रक्षायोग्य वाक्य हो; «अरू केही भएन» होइन, र त्यो तपाईंलाई फर्काएर उद्धृत गरिनेछ। खाडलका मालिक पनि हुन्छन्: अभिलेख उत्पादन गर्नुपर्ने प्रणाली र किन गरेन भन्ने उल्लेख गर्नुहोस्। त्यो पङ्क्तिले छुटलाई सुधारको विषयमा बदल्छ।
प्रमाणले समर्थन गर्ने तहमा निष्कर्ष लेख्नुहोस्
संरक्षण, नियन्त्रण र पुनर्प्राप्तिलाई घटना-मालिकमार्फत समन्वय गर्नुहोस्, उहाँलाई छल्ने होइन। CISAको प्राविधिक मार्गदर्शन ले सुधारले उपलब्ध रहेको कुरा बदल्नुअघि सम्बन्धित कलाकृति र लग सङ्कलन गर्नमा जोड दिन्छ, र त्यो क्रम कुनै पनि एउटा उपकरणभन्दा बढी महत्त्वपूर्ण छ।
खाडल बन्द गर्न जीवित उपकरणमा सन्दिग्ध एक्सप्लोइट फेरि चलाउनु त्यसले थप्ने जोखिमको लायक हुँदैन। आक्रमण चल्न सक्थ्यो भनेर देखाउने परीक्षण त्यो चल्यो भन्ने प्रमाण होइन, र यी दुई भनाइबीचको भिन्नता नै यो अभ्यासको सम्पूर्ण अनुशासन हो।
चार सूचीमा टुङ्ग्याउनुहोस्: के देखियो, अभिलेखले कुन सम्बन्धलाई समर्थन गर्छ, के परिकल्पना रहन्छ र कुन अभिलेख उपलब्ध छैनन्। «घटनाका क्रममा VPN खाता प्रयोग गरियो» दोस्रो सूचीमा पर्छ जब अभिलेखले त्यसलाई समर्थन गर्छ। «VPN ले र्यान्समवेयर निम्त्यायो» कतै पर्दैन जबसम्म केहीले कार्यकारण स्थापित गर्दैन।