VPN පිවිසුම සහ පසුව ransomware: සාක්ෂි මොනවාට සහාය දක්වයි
02:14 ට පිවිසුම සහ 03:02 ට කේතනය කළ ගොනු — මෙය විමර්ශනය කළ යුතු අනුපිළිවෙලක් මිස පිවිසුම් ලක්ෂ්‍යයක් නොවේ. සත්‍යාපන, සැසිය සහ සත්කාරක සාක්ෂි වෙන් කර තබන්න.
පහත සියල්ල භාවිතා කරන්නේ උපකල්පිත වාර්තාවක් වන අතර, එය සැබෑ සිද්ධියක් විස්තර කිරීමට නොව හැඩයක් පෙන්වීමට සකස් කර ඇත. එය දාමයක් ලෙස කියවේ: 02:14 ට ගේට්වේ සත්‍යාපනය, 02:19 ට ඩෙස්ක්ටොප් සැසිය, 02:41 ට වරප්‍රසාද ලත් ගිණුමේ වෙනසක්, සහ 03:02 ට සොයාගත් කේතනය කළ ගොනු. පළමු පේළිය පිළිතුර ලෙස පෙනේ, වාර්තාව බොහෝ විට ලියන්නේ එය එසේ යැයි යන අයුරිනි. පිවිසුම යනු ගේට්වේ එකක් වාර්තා කළ සිදුවීමකි, යමෙකු ඇතුළට ආ ආකාරය පිළිබඳ නිගමනයක් නොවේ, ඒ වෙනසම ඊළඟට ඔබ කරන දෙය තීරණය කරයි.
රෝග ලක්ෂණය: පිළිතුර ලෙස පෙනෙන පිවිසුම
සත්‍යාපන වාර්තා ලබා ගැනීමට පහසුම සාක්ෂි වන අතර අධික ලෙස අර්ථ දැක්වීමට ද පහසුම වේ. ඒවා පෙන්වන්නේ සේවාව විසින් යම් වේලාවක, යම් ලිපිනයකින්, යම් ගිණුමක් සඳහා අක්තපත්‍රයක් පිළිගත් බවයි. අක්තපත්‍රය පාලනය කළේ කවුරුන්ද, ගේට්වේ අනිසි ලෙස භාවිතා කළාද, නැතහොත් ගිණුම් හිමියාගේ උපාංගය දැනටමත් අවලස්සනයට පත්ව තිබුණාද යන්න ඒවා නොපෙන්වයි.
එකම පිවිසුම් පේළියට පැහැදිලි කිරීම් තුනක් ගැලපේ. යමෙක් සොරකම් කළ මුරපදයක් භාවිතා කළේය, ගේට්වේ කළේ එය සාදන ලද අරමුණමය. කලින් අවලස්සනයට පත් වූ ලැප්ටොප් පරිගණකයක් සාමාන්‍ය පරිදි පිවිසුණි. සම්බන්ධයක් නැති නිරාවරණය වූ සේවාවක් සැබෑ පිවිසුම ලබා දුන් අතර, VPN සැසිය එම ක්‍රියාකරුගේ පසුකාලීන, වෙනම ක්‍රියාවකි.
සෑම පැහැදිලි කිරීමක්ම පරිසරයේ වෙනත් තැනක වෙනස් සාක්ෂි අනාවැකි කියයි, එබැවින් විමර්ශනය කළ යුත්තේ ඒ අනාවැකි සොයා යාම මිස පළමු ගැලපෙන පැහැදිලි කිරීම තහවුරු කිරීම නොවේ. සොරකම් කළ මුරපදයක් අසාමාන්‍ය සත්‍යාපන භූගෝලයක් හෝ වේලාවක් අනාවැකි කියයි. අවලස්සනයට පත් ලැප්ටොප් පිවිසුමට පෙර සත්කාරක කෘති අනාවැකි කියයි. සම්බන්ධයක් නැති පිවිසුම් ලක්ෂ්‍යයක් ගේට්වේ සමඟ කිසිදු සම්බන්ධයක් නැති ක්‍රියාකාරකම් අනාවැකි කියයි.
විස්තර කිරීමට පෙර සිදුවීම් වෙන් කර තබන්න
කිසිදු විස්තරයක් පවතින්නට පෙර සිදුවීම් වෙන වෙනම ලියන්න, මන්ද විස්තරයක් කාලරේඛාව සැකකරුවෙකු වටා සකස් කිරීමට ආරාධනා කරයි. සෑම පේළියක්ම එම වාර්තාව තහවුරු කරන්නේ කුමක්ද සහ වෙනම, තනිව එය තහවුරු කළ නොහැක්කේ කුමක්ද යන්න පැවසිය යුතුය. පේළි දෙකක් එක් වාක්‍යයකට එකතු වන මොහොතේ, අර්ථ නිරූපණයක් දැනටමත් ජයගෙන ඇත.
අවසාන සිදුවීම ප්‍රහාරකයා ගැන නොව සොයාගැනීම ගැන බව සැලකිල්ලට ගන්න. සොයාගැනීමේ වේලාව සහ හානියට පත් වූ වේලාව සාමාන්‍යයෙන් පැය හෝ සති ගණනකින් වෙන් වේ, ඒවා සමාන කරන වාර්තාවක් ඔබට පසුව එන සෑම පාඨකයෙකුම නොමඟ යවනු ඇත.
සෑම වේලා මුද්‍රාවක්ම පැමිණියේ කොහෙන්ද යන්න සටහන් කරන්න, එය කියන දේ පමණක් නොවේ. එකතු කරන්නාගේ ලැබීමේ වේලාව, සිදුවීමේ වේලාව සහ සොයාගැනීමේ වේලාව වෙනස් සංඛ්‍යා තුනකි, ඒවා නිශ්ශබ්දව එක් තීරුවකට සාමාන්‍යකරණය කිරීම යනු සාක්ෂිවලට කිසිදා නොතිබූ හැඩයක් කාලරේඛාවට ලබා දෙන ක්‍රමයයි.
හඳුනා ගැනීම් ගැලපෙන තැනක පමණක් වාර්තා එකතු කරන්න
වාර්තා එකතු කිරීම උපකල්පනයක් මිස ආකෘතිකරණ පියවරක් නොවේ. ගිණුමේ නම, වෙන් කළ VPN ලිපිනය, ඉලක්ක සත්කාරකය සහ සැසි හඳුනා ගැනීම පේළි දෙකක් එක් කථාවක් වීමට පෙර ගැලපිය යුතුය. හවුල් පොදු ලිපිනයක් ප්‍රමාණවත් නොවේ, මන්ද එය නිර්මාණයෙන්ම හවුල් වේ.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
පිවිසුමක් ලුහුබඳින විට වගුව පහළ සිට ඉහළට කියවන්න, බලපෑමේ පරාසය තීරණය කරන විට ඉහළ සිට පහළට, මන්ද ප්‍රශ්න දෙකට ප්‍රතිවිරුද්ධ දිශාවන් අවශ්‍ය වේ. හඳුනා ගැනීම් සැබවින්ම ගැලපෙන තැන, එසේ කියන්න සහ වාර්තා දෙකම උපුටා දක්වන්න. ගැලපෙන නොවන තැන, උපකල්පනයකින් පරතරය වසා දැමීම වෙනුවට එය දෘශ්‍යමානව තබන්න.
මෙහිදී හුරුපුරුදු පරිශීලක නාමයක් ද නොමඟ යවයි. එකම ගිණුම උදෑසන නීත්‍යානුකූල හිමියා සහ රාත්‍රියේ වෙනත් අයෙකු භාවිතා කළ හැකිය, ගිණුමේ නම පමණක් ඔවුන් වෙන් කළ නොහැක. ගිණුම ආරෝපණය කරන්න, පසුව පුද්ගලයා වෙනම ආරෝපණය කරන්න, යමක් එයට සහාය දෙන විට පමණක්. සමාලෝචනයේදී කැඩී යන බොහෝ කාලරේඛා මෙම පියවර ඉතා ඉක්මනින් ගෙන ඇත.
නැති වූ ලොග් පරතරයක් මිස සෘණාත්මක සාක්ෂියක් නොවේ
අසාර්ථක මුරපද සිදුවීම් නොමැති වීම සාර්ථක පිවිසුම නීත්‍යානුකූල වූ බව ඔප්පු නොකරයි. වලංගු සොරකම් කළ අක්තපත්‍ර සාර්ථක සත්‍යාපන වාර්තාවක් ලබා දෙන අතර කිසිදු අසාර්ථකත්වයක් නොදෙයි, එයම අක්තපත්‍ර සොරකම ආකර්ෂණීය කරයි.
එලෙසම, අද වසා ඇති පෝට් එකක් අද ගැන යමක් පවසයි. එම සේවාව එවිට නිරාවරණය වී තිබුණාද, එවිට දුර්වල වී තිබුණාද, නැතහොත් එය ප්‍රහාරය රැගෙන ගියාද යන්න ගැන එය කිසිවක් නොපවසයි. ඓතිහාසික වින්‍යාසය සහ සේවා සාක්ෂි පමණක් එම පරතරය වසා දැමීමේ එකම මාර්ගයයි.
වාර්තාවේ පරතරය පැහැදිලිව සඳහන් කරන්න. «එම කාල පරාසය සඳහා අපට වාර්තා නැත» යනු ආරක්ෂා කළ හැකි වාක්‍යයකි; «වෙනත් කිසිවක් සිදු නොවීය» එසේ නොවේ, එය ඔබට උපුටා දක්වනු ඇත. පරතරවලට හිමිකරුවන් ද සිටී: වාර්තාව නිපදවිය යුතු වූ පද්ධතිය සහ එය නොකළේ මන්දැයි නම් කරන්න. එම පේළිය මඟහැරීමක් නිවැරදි කිරීමේ අයිතමයක් බවට පත් කරයි.
සාක්ෂි සහාය දෙන මට්ටමින් සොයාගැනීම් ලියන්න
සංරක්ෂණය, සීමා කිරීම සහ ප්‍රතිසාධනය සිද්ධි හිමිකරු හරහා සම්බන්ධීකරණය කරන්න, ඔහු වටා යාමෙන් නොවේ. CISA හි තාක්ෂණික මාර්ගෝපදේශය ප්‍රතිසාධනය ඉතිරිව ඇති දේ වෙනස් කිරීමට පෙර අදාළ කෘති සහ ලොග් එකතු කිරීම අවධාරණය කරයි, එම අනුපිළිවෙල ඕනෑම තනි මෙවලමකට වඩා වැදගත් වේ.
පරතරය වසා දැමීම සඳහා සජීවී උපකරණයක් මත සැක සහිත අවස්ථා ප්‍රයෝජනයක් නැවත ක්‍රියාත්මක කිරීම එය එකතු කරන අවදානමට වටින්නේ නැත. ප්‍රහාරයක් ක්‍රියා කළ හැකි වූ බව පෙන්වන පරීක්ෂණයක් එය ක්‍රියා කළ බවට සාක්ෂියක් නොවේ, එම ප්‍රකාශ දෙක අතර වෙනස මෙම අභ්‍යාසයේ මුළු විනයයි.
ලැයිස්තු හතරකින් අවසන් කරන්න: නිරීක්ෂණය කළේ කුමක්ද, වාර්තා සහාය දෙන සම්බන්ධතා මොනවාද, උපකල්පනය ලෙස ඉතිරි වන්නේ කුමක්ද සහ කුමන වාර්තා නොමැතිද. «සිද්ධිය අතරතුර VPN ගිණුමක් භාවිතා කරන ලදී» වාර්තා එයට සහාය දෙන විට දෙවන ලැයිස්තුවට අයත් වේ. «VPN නිසා ransomware සිදු විය» යමක් හේතු සම්බන්ධය තහවුරු කරන තෙක් කිසිදු තැනකට අයත් නොවේ.