Вход через VPN, а затем шифровальщик: что подтверждают доказательства

Всё ниже опирается на гипотетическую запись, собранную, чтобы показать форму, а не описать реальный случай. Она читается как цепочка: аутентификация на шлюзе в 02:14, сеанс рабочего стола в 02:19, изменение привилегированной учётной записи в 02:41 и зашифрованные файлы, найденные в 03:02. Первая строка выглядит как ответ, и отчёт часто пишется так, будто это он и есть. Вход — это событие, зафиксированное шлюзом, а не вывод о том, как кто-то попал внутрь, и именно эта разница определяет, что вы будете делать дальше.

Симптом: вход, который выглядит как ответ

Записи аутентификации — самые простые в получении доказательства и самые простые для переоценки. Они показывают, что служба приняла учётные данные в определённое время, с определённого адреса, для определённой учётной записи. Они не показывают, кто управлял этими данными, использовался ли шлюз, и было ли устройство владельца учётной записи уже скомпрометировано.

Три объяснения подходят к одной и той же строке входа. Кто-то использовал украденный пароль, и шлюз сделал ровно то, для чего построен. Ранее скомпрометированный ноутбук просто вошёл как обычно. Несвязанная открытая служба дала настоящий вход, а сеанс VPN — это более позднее, отдельное действие того же субъекта.

Каждое объяснение предсказывает разные доказательства в другом месте среды, поэтому расследование должно искать эти предсказания, а не подтверждение первого подходящего. Украденный пароль предсказывает необычную географию или время аутентификации. Скомпрометированный ноутбук предсказывает артефакты хоста до входа. Несвязанная точка входа предсказывает активность, вообще не связанную со шлюзом.

Держите события раздельно, прежде чем рассказывать о них

Запишите события по отдельности, пока не существует никакого повествования, потому что повествование приглашает выстроить хронологию вокруг подозреваемого. Каждая строка должна говорить, что устанавливает эта запись и, отдельно, чего она не может установить сама. В тот момент, когда две строки сливаются в одно предложение, интерпретация уже победила.

Обратите внимание, что последнее событие касается обнаружения, а не атакующего. Время обнаружения и время компрометации обычно разделяют часы или недели, и отчёт, который их приравнивает, введёт в заблуждение каждого читателя, пришедшего после вас.

Записывайте, откуда взялась каждая метка времени, а не только что она говорит. Время получения сборщиком, время события и время обнаружения — три разных числа, и тихое сведение их в один столбец — это способ, которым хронология обретает форму, которой у доказательств никогда не было.

Соединяйте записи только там, где совпадают идентификаторы

Объединение записей — это гипотеза, а не шаг форматирования. Имя учётной записи, назначенный адрес VPN, целевой хост и идентификатор сеанса должны совпасть, прежде чем две строки станут одной историей. Общего публичного адреса недостаточно, потому что он общий по замыслу.

Читайте таблицу снизу вверх, когда прослеживаете вход, и сверху вниз, когда определяете масштаб воздействия, потому что два вопроса требуют противоположных направлений. Там, где идентификаторы действительно совпадают, скажите это и сошлитесь на обе записи. Там, где не совпадают, оставьте пробел видимым, а не закрывайте его предположением.

Здесь же вводит в заблуждение и знакомое имя пользователя. Одну и ту же учётную запись утром может использовать законный владелец, а ночью кто-то другой, и одно лишь имя учётной записи не может их различить. Припишите учётную запись, затем отдельно припишите человека, и только когда что-то это поддерживает. Большинство хронологий, которые рассыпаются на обзоре, сделали именно этот шаг слишком быстро.

Отсутствующие журналы — это пробел, а не отрицательное доказательство

Отсутствие событий с неудачными паролями не доказывает, что успешный вход был законным. Действительные украденные учётные данные дают успешную запись аутентификации и вообще никаких сбоев, и именно это делает кражу учётных данных привлекательной.

Точно так же порт, закрытый сегодня, говорит что-то о сегодня. Он ничего не говорит о том, была ли та служба открыта тогда, была ли она уязвима тогда или несла ли она атаку. Историческая конфигурация и доказательства службы — единственный способ закрыть этот пробел.

Укажите пробел явно в отчёте. «У нас нет записей за этот интервал» — защитимое предложение; «ничего другого не произошло» — нет, и это вам припомнят. У пробелов есть и владельцы: назовите систему, которая должна была создать запись, и почему она этого не сделала. Эта строка превращает упущение в пункт исправления.

Пишите выводы на том уровне, который подтверждают доказательства

Координируйте сохранение, локализацию и восстановление через владельца инцидента, а не в обход него. Техническое руководство CISA подчёркивает сбор соответствующих артефактов и журналов до того, как восстановление изменит то, что ещё доступно, и этот порядок важнее любого отдельного инструмента.

Повторный запуск предполагаемого эксплойта на работающем оборудовании, чтобы закрыть пробел, не стоит добавленного риска. Тест, показывающий, что атака могла сработать, не является доказательством, что она сработала, и разница между этими двумя утверждениями — вся дисциплина упражнения.

Завершите четырьмя списками: что наблюдалось, какие связи подтверждают записи, что остаётся гипотезой и какие записи недоступны. «Во время инцидента использовалась учётная запись VPN» относится ко второму списку, когда записи это подтверждают. «VPN вызвал шифровальщик» не относится никуда, пока что-то не установит причинность.