Prijava v VPN in nato ransomware: kaj dokazi podpirajo
Prijava ob 02:14 in šifrirane datoteke ob 03:02 sta zaporedje, vredno preiskave, ne vstopna točka. Dokaze o avtentikaciji, seji in gostitelju hranite ločeno.
Vse spodaj uporablja hipotetičen zapis, sestavljen zato, da pokaže obliko, ne da bi opisal resničen primer. Bere se kot veriga: avtentikacija na prehodu ob 02:14, seja namizja ob 02:19, sprememba privilegiranega računa ob 02:41 in šifrirane datoteke, najdene ob 03:02. Prva vrstica je videti kot odgovor in poročilo je pogosto napisano, kot da je. Prijava je dogodek, ki ga je prehod zabeležil, ne ugotovitev o tem, kako je kdo vstopil, in ta razlika odloči, kaj boste storili naprej.
Simptom: prijava, ki je videti kot odgovor
Zapisi o avtentikaciji so najlažje pridobljeni dokazi in najlažje precenjeni. Kažejo, da je storitev sprejela poverilnico ob določenem času, z določenega naslova, za določen račun. Ne kažejo, kdo je poverilnico nadzoroval, ali je bil prehod izkoriščen ali ali je bila naprava imetnika računa že kompromitirana.
Tri razlage se prilegajo isti vrstici prijave. Nekdo je uporabil ukradeno geslo in prehod je naredil natanko to, za kar je zgrajen. Prenosnik, ki je bil prej kompromitiran, se je preprosto prijavil kot običajno. Nepovezana izpostavljena storitev je zagotovila pravi vstop, seja VPN pa je poznejše, ločeno dejanje istega akterja.
Vsaka razlaga napoveduje drugačne dokaze drugje v okolju, zato mora preiskava iskati te napovedi, ne potrditve prve, ki se prilega. Ukradeno geslo napoveduje nenavadno geografijo ali čas avtentikacije. Kompromitiran prenosnik napoveduje artefakte gostitelja pred prijavo. Nepovezana vstopna točka napoveduje dejavnost, ki nima nič skupnega s prehodom.
Dogodke hranite ločeno, preden jih pripovedujete
Zapišite dogodke ločeno, preden obstaja kakršna koli pripoved, ker pripoved vabi k razporeditvi časovnega traku okoli osumljenca. Vsaka vrstica mora povedati, kaj ta zapis dokazuje, in ločeno, česa sam ne more dokazati. V trenutku, ko se dve vrstici zlijeta v en stavek, je razlaga že zmagala.
Opazite, da zadnji dogodek zadeva odkrivanje, ne napadalca. Čas odkritja in čas kompromitacije sta običajno ločena za ure ali tedne, in poročilo, ki ju izenači, bo zavedlo vsakega bralca, ki pride za vami.
Zabeležite, od kod izvira vsak časovni žig, ne le, kaj pravi. Čas prejema pri zbiralniku, čas dogodka in čas odkritja so tri različna števila, in tiho normaliziranje v en stolpec je način, kako časovni trak dobi obliko, ki je dokazi nikoli niso imeli.
Zapise povežite le tam, kjer se identifikatorji ujemajo
Povezovanje zapisov je hipoteza, ne korak oblikovanja. Ime računa, dodeljeni naslov VPN, ciljni gostitelj in identifikator seje se morajo ujemati, preden dve vrstici postaneta ena zgodba. Skupni javni naslov ne zadostuje, ker je skupen po zasnovi.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Tabelo berite od spodaj navzgor, ko sledite vstopu, in od zgoraj navzdol, ko določate obseg vpliva, ker vprašanji zahtevata nasprotni smeri. Kjer se identifikatorji res ujemajo, to povejte in navedite oba zapisa. Kjer se ne ujemajo, pustite vrzel vidno, namesto da bi jo zaprli s predpostavko.
Tu zavaja tudi znano uporabniško ime. Isti račun lahko zjutraj uporablja zakoniti imetnik, ponoči pa nekdo drug, in samo ime računa ju ne more ločiti. Pripisati račun, nato ločeno pripisati osebo, in le ko nekaj to podpira. Večina časovnih trakov, ki se pri pregledu razsujejo, je prav ta korak naredila prehitro.
Manjkajoči dnevniki so vrzel, ne negativen dokaz
Odsotnost dogodkov z neuspešnim geslom ne dokazuje, da je bila uspešna prijava zakonita. Veljavne ukradene poverilnice ustvarijo uspešen zapis o avtentikaciji in prav nobene neuspehe, in prav to naredi krajo poverilnic privlačno.
Podobno vrata, ki so danes zaprta, povedo nekaj o danes. Ne povedo ničesar o tem, ali je bila ta storitev takrat izpostavljena, ali je bila takrat ranljiva ali ali je nosila napad. Zgodovinska konfiguracija in dokazi storitve so edini način, da to vrzel zapremo.
Vrzel navedite izrecno v poročilu. „Za to obdobje nimamo zapisov“ je zagovorljiv stavek; „nič drugega se ni zgodilo“ ni, in to vam bodo citirali nazaj. Vrzeli imajo tudi lastnike: navedite sistem, ki bi moral ustvariti zapis, in zakaj ga ni. Ta vrstica spremeni opustitev v popravljalno postavko.
Ugotovitve pišite na ravni, ki jo dokazi podpirajo
Usklajujte ohranjanje, omejevanje in obnovitev prek lastnika incidenta, ne mimo njega. Tehnične smernice CISA poudarjajo zbiranje ustreznih artefaktov in dnevnikov, preden popravilo spremeni, kaj ostane na voljo, in ta vrstni red je pomembnejši od katerega koli posameznega orodja.
Ponovno zaganjanje domnevnega izkoriščanja na živi opremi, da bi zaprli vrzel, ni vredno dodanega tveganja. Test, ki pokaže, da bi napad lahko deloval, ni dokaz, da je deloval, in razlika med tema dvema trditvama je vsa disciplina vaje.
Končajte s štirimi seznami: kaj je bilo opaženo, katere odnose zapisi podpirajo, kaj ostaja hipoteza in kateri zapisi niso na voljo. „Med incidentom je bil uporabljen račun VPN“ sodi na drugi seznam, ko zapisi to podpirajo. „VPN je povzročil ransomware“ ne sodi nikam, dokler nekaj ne ugotovi vzročnosti.