Prihlásenie cez VPN a potom ransomware: čo podporujú dôkazy
Prihlásenie o 02:14 a zašifrované súbory o 03:02 sú sled, ktorý stojí za vyšetrenie, nie vstupný bod. Držte oddelene dôkazy o autentifikácii, relácii a hostiteľovi.
Všetko nižšie vychádza z hypotetického záznamu, zostaveného tak, aby ukázal tvar, nie aby opísal skutočný prípad. Číta sa ako reťaz: autentifikácia na bráne o 02:14, relácia na ploche o 02:19, zmena privilegovaného účtu o 02:41 a zašifrované súbory nájdené o 03:02. Prvý riadok vyzerá ako odpoveď a správa sa často píše, akoby ňou bol. Prihlásenie je udalosť, ktorú brána zaznamenala, nie zistenie o tom, ako sa niekto dostal dnu, a tento rozdiel určuje, čo urobíte ďalej.
Príznak: prihlásenie, ktoré vyzerá ako odpoveď
Záznamy o autentifikácii sa získavajú najľahšie a zároveň sa najľahšie preceňujú. Ukazujú, že služba prijala prihlasovací údaj v určitom čase, z určitej adresy, pre určitý účet. Neukazujú, kto údaj ovládal, či bola brána zneužitá alebo či bolo zariadenie držiteľa účtu už kompromitované.
Tri vysvetlenia sedia na ten istý riadok prihlásenia. Niekto použil ukradnuté heslo a brána urobila presne to, na čo je postavená. Predtým kompromitovaný notebook sa jednoducho prihlásil ako obvykle. Nesúvisiaca vystavená služba poskytla skutočný vstup a relácia VPN je neskoršia, samostatná akcia toho istého aktéra.
Každé vysvetlenie predpovedá iné dôkazy inde v prostredí, preto musí vyšetrovanie hľadať tieto predpovede, nie potvrdenie prvého, ktoré sedí. Ukradnuté heslo predpovedá neobvyklú geografiu alebo čas autentifikácie. Kompromitovaný notebook predpovedá artefakty hostiteľa pred prihlásením. Nesúvisiaci vstupný bod predpovedá aktivitu, ktorá s bránou vôbec nesúvisí.
Držte udalosti oddelene, kým ich začnete rozprávať
Zapíšte udalosti oddelene, kým neexistuje žiadne rozprávanie, pretože rozprávanie pozýva usporiadať časovú os okolo podozrivého. Každý riadok má povedať, čo ten záznam preukazuje, a oddelene, čo sám preukázať nemôže. Vo chvíli, keď sa dva riadky spoja do jednej vety, už zvíťazila nejaká interpretácia.
Všimnite si, že posledná udalosť sa týka odhalenia, nie útočníka. Čas objavenia a čas kompromitácie sa bežne líšia o hodiny alebo týždne a správa, ktorá ich stotožní, uvedie do omylu každého čitateľa, ktorý príde po vás.
Zaznamenajte, odkiaľ každá časová pečiatka pochádza, nielen čo hovorí. Čas prijatia zberačom, čas udalosti a čas odhalenia sú tri rôzne čísla a tiché zjednotenie do jedného stĺpca je spôsob, akým časová os získa tvar, ktorý dôkazy nikdy nemali.
Spájajte záznamy len tam, kde sa identifikátory zhodujú
Spájanie záznamov je hypotéza, nie krok formátovania. Názov účtu, pridelená adresa VPN, cieľový hostiteľ a identifikátor relácie sa musia zhodovať, kým sa z dvoch riadkov stane jeden príbeh. Zdieľaná verejná adresa nestačí, pretože je zdieľaná zámerne.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Čítajte tabuľku zdola nahor, keď sledujete vstup, a zhora nadol, keď vymedzujete dopad, pretože obe otázky potrebujú opačné smery. Kde sa identifikátory skutočne zhodujú, povedzte to a citujte oba záznamy. Kde sa nezhodujú, nechajte medzeru viditeľnú, namiesto toho, aby ste ju uzavreli predpokladom.
Tu tiež zavádza známe používateľské meno. Ten istý účet môže ráno používať legitímny držiteľ a v noci niekto iný, a samotné meno účtu ich nedokáže rozlíšiť. Priraďte účet, potom oddelene priraďte osobu, a jen keď to niečo podporuje. Väčšina časových osí, ktoré sa pri revízii rozpadnú, urobila práve tento krok príliš rýchlo.
Chýbajúce logy sú medzera, nie negatívny dôkaz
Neprítomnosť udalostí s neúspešným heslom nedokazuje, že úspešné prihlásenie bolo legitímne. Platné ukradnuté údaje vytvoria úspešný záznam o autentifikácii a žiadne zlyhania, a práve to robí krádež údajov príťažlivou.
Podobne port, ktorý je dnes zatvorený, hovorí niečo o dnešku. Nehovorí nič o tom, či bola tá služba vtedy vystavená, či bola vtedy zraniteľná alebo či niesla útok. Historická konfigurácia a dôkazy zo služby sú jediný spôsob, ako túto medzeru uzavrieť.
Uveďte medzeru výslovne v správe. „Pre ten interval nemáme záznamy“ je obhájiteľná veta; „nič iné sa nestalo“ nie je a bude vám to citované späť. Medzery majú aj vlastníkov: pomenujte systém, ktorý mal záznam vytvoriť, a prečo ho nevytvoril. Ten riadok mení opomenutie na položku nápravy.
Píšte zistenia na úrovni, ktorú dôkazy podporujú
Koordinujte zachovanie, obmedzenie a obnovu cez vlastníka incidentu, nie mimo neho. Technické usmernenia CISA zdôrazňujú zber relevantných artefaktov a logov predtým, než náprava zmení to, čo zostáva dostupné, a toto poradie je dôležitejšie než akýkoľvek jednotlivý nástroj.
Znovu spustiť podozrivý exploit proti živému vybaveniu, aby sa medzera uzavrela, nestojí za pridané riziko. Test, ktorý ukáže, že útok mohol fungovať, nie je dôkazom, že fungoval, a rozdiel medzi týmito dvoma tvrdeniami je celá disciplína cvičenia.
Skončite štyrmi zoznamami: čo bolo pozorované, aké vzťahy záznamy podporujú, čo zostáva hypotézou a ktoré záznamy nie sú dostupné. „Počas incidentu bol použitý účet VPN“ patrí do druhého zoznamu, keď to záznamy podporujú. „VPN spôsobila ransomware“ nepatrí nikam, kým niečo nepreukáže kauzalitu.