په VPN ننوتل او بیا ransomware: شواهد څه تاییدوي
د 02:14 په وخت ننوتل او د 03:02 په وخت کوډ شوي فایلونه — دا د څیړنې وړ ترتیب دی، نه د ننوتلو نقطه۔ د تصدیق، سیشن او کوربه شواهد جلا وساتئ۔
لاندې هر څه یو فرضي ریکارډ کاروي، چې د واقعي قضیې د بیانولو پرځای د یو شکل ښودلو لپاره جوړ شوی دی۔ دا د زنځیر په څیر لوستل کیږي: د 02:14 په وخت د ګېټوې تصدیق، د 02:19 په وخت د ډیسکټاپ سیشن، د 02:41 په وخت د امتیاز لرونکي حساب بدلون، او د 03:02 په وخت موندل شوي کوډ شوي فایلونه۔ لومړی کرښه د ځواب په څیر ښکاري، او راپور اکثراً داسې لیکل کیږي لکه څنګه چې همدا ځواب وي۔ ننوتل هغه پېښه ده چې ګېټوې ثبت کړې، نه هغه پایله چې څوک څنګه دننه شو، او همدا توپیر ټاکي چې بل څه وکړئ۔
نښه: هغه ننوتل چې د ځواب په څیر ښکاري
د تصدیق ریکارډونه تر ټولو اسانه ترلاسه کیدونکي شواهد دي او تر ټولو اسانه د ډیر تفسیر وړ دي۔ دوی ښیي چې خدمت په یو وخت، له یوې پتې، د یو حساب لپاره یو اعتبار منلی دی۔ دوی نه ښیي چې اعتبار چا کنټرولوه، ګېټوې ګټه پورته شوې وه که نه، یا د حساب مالک وسیله مخکې زیانمنه شوې وه که نه۔
درې څرګندونې د همدې ننوتلو کرښې سره ځای پیدا کوي۔ چا غلا شوی پټنوم کارولی، او ګېټوې په دقیق ډول هغه څه وکړل چې د هغې لپاره جوړه شوې وه۔ یو لیپ ټاپ چې مخکې زیانمن شوی و، یوازې د معمول په څیر ننوت۔ یو بې ارتباطه پرانیستی خدمت ریښتینی ننوتل برابر کړل، او VPN سیشن د همدې لوبغاړي وروستی، جلا عمل دی۔
هره څرګندونه په چاپیریال کې بل ځای کې جلا شواهد وړاندوینه کوي، نو څیړنه باید هغه وړاندوینې ولټوي، نه د لومړي سمون خورا څرګندونې تایید۔ غلا شوی پټنوم غیرعادي تصدیق جغرافیه یا وخت وړاندوینه کوي۔ زیانمن شوی لیپ ټاپ د ننوتلو څخه مخکې د کوربه آثار وړاندوینه کوي۔ بې ارتباطه د ننوتلو نقطه هغه فعالیت وړاندوینه کوي چې له ګېټوې سره هیڅ تړاو نلري۔
پېښې جلا وساتئ مخکې له دې چې یې بیان کړئ
پېښې جلا ولیکئ مخکې له دې چې کوم روایت رامنځته شي، ځکه روایت بلنه ورکوي چې مهال لړۍ د یو شکمن کس په شاوخوا ترتیب شي۔ هره کرښه باید ووایي چې هغه ریکارډ څه ثابتوي او جلا، یوازې څه نشي ثابتولی۔ په هغه شیبه چې دوه کرښې په یوه جمله کې یوځای شي، یو تفسیر مخکې بریالی شوی دی۔
پام وکړئ چې وروستې پېښه د بریدګر په اړه نه، بلکې د کشف په اړه ده۔ د کشف وخت او د زیانمنیدو وخت معمولاً د ساعتونو یا اونیو په فاصله کې وي، او هغه راپور چې دواړه سره برابر کړي به هر هغه لوستونکی چې ستاسو وروسته راځي ګمراه کړي۔
ولیږئ چې هره وخت نښه له کومه راغله، نه یوازې دا چې څه وایي۔ د راټولونکي د ترلاسه کولو وخت، د پېښې وخت او د کشف وخت درې جلا عددونه دي، او په غلیمانه ډول یې په یوه کالم کې نورمالول هماغه لاره ده چې مهال لړۍ هغه شکل ترلاسه کوي چې شواهدو هیڅکله نه درلود۔
ریکارډونه یوازې هغه ځای سره یوځای کړئ چې پېژندونکي سره سمون خوري
د ریکارډونو یوځای کول یوه فرضیه ده، نه د بڼې ورکولو ګام۔ د حساب نوم، ټاکل شوې VPN پته، هدف کوربه او د سیشن پېژندونکی باید سره سمون ولري مخکې له دې چې دوه کرښې یوه کیسه شي۔ شریکه عامه پته بس نه ده، ځکه چې دا د ډیزاین له مخې شریکه ده۔
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
کله چې ننوتل تعقیبوئ جدول له ښکته څخه پورته ولولئ، او کله چې د اغیزې حد ټاکئ له پورته څخه ښکته، ځکه دواړه پوښتنې مخالف لوري ته اړتیا لري۔ چیرته چې پېژندونکي واقعاً سره سمون خوري، هماغه ووایاست او دواړه ریکارډونه حواله کړئ۔ چیرته چې سمون نه خوري، تشه د فرضیې په واسطه د بندولو پرځای ښکاره پریږدئ۔
دلته هم یو پیژندل شوی کارن نوم ګمراه کوي۔ هماغه حساب سبا سهار قانوني مالک او شپه بل څوک کارولی شي، او یوازې د حساب نوم نشي کولی دوی جلا کړي۔ حساب ته منسوب کړئ، بیا کس ته جلا منسوب کړئ، او یوازې هغه وخت چې یو څه یې ملاتړ کوي۔ ډیرې هغه مهال لړۍ چې په بیاکتنه کې ماتېږي همدا ګام ډیر ژر پورته کړی و۔
ورک شوي لاګونه تشه ده، منفي شاهد نه
د ناکامو پټنومونو پېښو نه شتون ثابتوي چې بریالی ننوتل قانوني و۔ معتبر غلا شوي اعتبارونه یو بریالی تصدیق ریکارډ تولیدوي او هیڅ ناکامي نه، او همدا د اعتبار غلا زړه راښکونکې کوي۔
همداسې، نن ورځ بند پورټ د نن ورځې په اړه یو څه وایي۔ د دې په اړه چې هغه خدمت هغه وخت پرانیستی و که نه، هغه وخت زیانمن و که نه، یا برید یې وړی و که نه، هیڅ نه وایي۔ تاریخي ترتیبات او د خدمت شواهد یوازینې لاره ده چې هغه تشه بنده شي۔
په راپور کې تشه په څرګند ډول یاد کړئ۔ «د هغه مودې لپاره موږ ریکارډونه نه لرو» د دفاع وړ جمله ده؛ «بل څه ونه شول» نه ده، او هغه به تاسو ته بیرته حواله شي۔ تشو مالکین هم لري: هغه سیسټم ونوموئ چې ریکارډ باید تولید کړی وی او ولې یې نه کړ۔ هغه کرښه یوه پریښودنه د سمون په توګه بدلوي۔
پایلې په هغه کچه ولیکئ چې شواهد یې ملاتړ کوي
ساتنه، محدودیت او بیا رغونه د پېښې مالک له لارې همغږي کړئ، نه د هغه په شاوخوا۔ د CISA تخنیکي لارښود ټینګار کوي چې اړوند آثار او لاګونه د سمون څخه مخکې راټول شي چې بدل کړي څه لاسرسی لري، او دا ترتیب له هر یو واحد اوزار څخه مهم دی۔
د تشې د بندولو لپاره په ژوندي تجهیزاتو باندې شکمن اکسپلویټ بیا چلول د هغه اضافي خطر ارزښت نلري۔ هغه ازموینه چې ښیي برید کولی شو کار وکړي، د دې ثبوت نه دی چې کار یې کړی، او د دې دوو عبارتونو ترمنځ توپیر همدا ټول انضباط دی۔
د څلورو لیستونو سره پای ته ورسئ: څه مشاهده شول، ریکارډونه کوم اړیکې ملاتړ کوي، څه فرضیه پاتې کیږي او کوم ریکارډونه شتون نلري۔ «د پېښې په جریان کې VPN حساب وکارول شو» دوهم لیست ته ځي کله چې ریکارډونه یې ملاتړ کوي۔ «VPN د ransomware لامل شو» هیڅ چیرې نه ځي تر هغه چې یو څه علت ثابت کړي۔