Conectare VPN și apoi ransomware: ce susțin dovezile
O conectare la 02:14 și fișiere criptate la 03:02 este o secvență care merită investigată, nu un punct de intrare. Țineți separat dovezile de autentificare, sesiune și gazdă.
Tot ce urmează folosește o înregistrare ipotetică, alcătuită pentru a arăta o formă, nu pentru a descrie un caz real. Se citește ca un lanț: o autentificare la poartă la 02:14, o sesiune de desktop la 02:19, o modificare a unui cont privilegiat la 02:41 și fișiere criptate găsite la 03:02. Prima linie pare răspunsul, iar raportul este adesea scris ca și cum ar fi. O conectare este un eveniment pe care o poartă l-a înregistrat, nu o concluzie despre cum a intrat cineva, iar această diferență decide ce faceți în continuare.
Simptomul: o conectare care pare răspunsul
Înregistrările de autentificare sunt dovezile cele mai ușor de obținut și cele mai ușor de suprainterpretat. Ele arată că serviciul a acceptat o acreditare la un moment dat, de la o adresă, pentru un cont. Nu arată cine controla acreditarea, dacă poarta a fost exploatată sau dacă dispozitivul titularului contului era deja compromis.
Trei explicații se potrivesc aceleiași linii de conectare. Cineva a folosit o parolă furată, iar poarta a făcut exact ceea ce este construită să facă. Un laptop compromis anterior s-a conectat pur și simplu ca de obicei. Un serviciu expus nelegat a oferit intrarea reală, iar sesiunea VPN este o acțiune ulterioară, separată, a aceluiași actor.
Fiecare explicație prezice dovezi diferite în altă parte a mediului, de aceea investigația trebuie să caute acele predicții, nu confirmarea primei explicații care se potrivește. O parolă furată prezice o geografie sau un moment de autentificare neobișnuite. Un laptop compromis prezice artefacte ale gazdei înainte de conectare. Un punct de intrare nelegat prezice activitate care nu are nicio legătură cu poarta.
Țineți evenimentele separate înainte de a le povesti
Scrieți evenimentele separat înainte să existe orice narațiune, pentru că o narațiune invită la aranjarea cronologiei în jurul unui suspect. Fiecare linie trebuie să spună ce stabilește acea înregistrare și, separat, ce nu poate stabili singură. În momentul în care două linii fuzionează într-o singură propoziție, o interpretare a câștigat deja.
Observați că ultimul eveniment privește detectarea, nu atacatorul. Momentul descoperirii și momentul compromiterii sunt de obicei separate de ore sau săptămâni, iar un raport care le egalează va induce în eroare fiecare cititor care vine după dumneavoastră.
Notați de unde provine fiecare marcaj temporal, nu doar ce spune. Ora de primire a unui colector, ora unui eveniment și ora detectării sunt trei numere diferite, iar normalizarea lor în tăcere într-o singură coloană este modul în care o cronologie capătă o formă pe care dovezile nu au avut-o niciodată.
Îmbinați înregistrări doar acolo unde identificatorii coincid
A îmbina înregistrări este o ipoteză, nu un pas de formatare. Numele contului, adresa VPN atribuită, gazda țintă și identificatorul sesiunii trebuie să coincidă înainte ca două rânduri să devină o poveste. O adresă publică partajată nu este suficientă, pentru că este partajată prin proiectare.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Citiți tabelul de jos în sus când urmăriți o intrare, și de sus în jos când delimitați impactul, pentru că cele două întrebări cer direcții opuse. Unde identificatorii coincid cu adevărat, spuneți-o și citați ambele înregistrări. Unde nu coincid, lăsați golul vizibil în loc să-l închideți cu o presupunere.
Aici și un nume de utilizator familiar induce în eroare. Același cont poate fi folosit de titularul legitim dimineața și de altcineva noaptea, iar numele contului singur nu le poate distinge. Atribuiți contul, apoi atribuiți persoana separat, și numai când ceva susține asta. Majoritatea cronologiilor care se destramă la revizuire au făcut exact acest pas prea repede.
Jurnalele lipsă sunt un gol, nu o dovadă negativă
Absența evenimentelor de parolă eșuată nu dovedește că conectarea reușită a fost legitimă. Acreditările furate valide produc o înregistrare de autentificare reușită și nicio eșuare, și exact asta face furtul de acreditări atractiv.
La fel, un port închis astăzi spune ceva despre astăzi. Nu spune nimic despre dacă acel serviciu era expus atunci, dacă era vulnerabil atunci sau dacă a purtat atacul. Configurația istorică și dovezile serviciului sunt singura cale de a închide acel gol.
Declarați golul explicit în raport. „Nu avem înregistrări pentru acel interval” este o propoziție defendabilă; „nu s-a întâmplat nimic altceva” nu este, și vă va fi citată înapoi. Golurile au și proprietari: numiți sistemul care ar fi trebuit să producă înregistrarea și de ce nu a făcut-o. Acea linie transformă o omisiune într-un element de remediere.
Scrieți constatările la nivelul pe care dovezile îl susțin
Coordonați conservarea, izolarea și recuperarea prin proprietarul incidentului, nu pe lângă el. Ghidul tehnic al CISA subliniază colectarea artefactelor și jurnalelor relevante înainte ca remedierea să schimbe ce rămâne disponibil, iar această ordine contează mai mult decât orice instrument individual.
Rerularea unui exploit suspect pe echipamente în producție pentru a închide golul nu merită riscul adăugat. Un test care arată că un atac ar fi putut funcționa nu este dovada că a funcționat, iar diferența dintre aceste două afirmații este toată disciplina exercițiului.
Încheiați cu patru liste: ce s-a observat, ce relații susțin înregistrările, ce rămâne ipoteză și ce înregistrări nu sunt disponibile. „Un cont VPN a fost folosit în timpul incidentului” aparține celei de-a doua liste când înregistrările susțin asta. „VPN-ul a cauzat ransomware” nu aparține nicăieri până când ceva nu stabilește cauzalitatea.