Hyrje në VPN dhe më pas ransomware: çfarë mbështetin provat

Gjithçka më poshtë përdor një regjistrim hipotetik, i mbledhur për të treguar një formë dhe jo për të përshkruar një rast real. Lexohet si një zinxhir: një vërtetim në portë në 02:14, një sesion desktopi në 02:19, një ndryshim i llogarisë së privilegjuar në 02:41 dhe skedarë të kriptuar të gjetur në 03:02. Rreshti i parë duket si përgjigja, dhe raporti shpesh shkruhet sikur të ishte. Një hyrje është një ngjarje që një portë regjistroi, jo një përfundim për mënyrën se si dikush hyri, dhe ai ndryshim vendos çfarë do të bëni më pas.

Simptoma: një hyrje që duket si përgjigja

Regjistrat e vërtetimit janë provat më të lehta për t’u marrë dhe më të lehtat për t’u mbinterpretuar. Ata tregojnë se shërbimi pranoi një kredencial në një moment, nga një adresë, për një llogari. Nuk tregojnë kush e kontrollonte kredencialin, nëse porta u shfrytëzua apo nëse pajisja e mbajtësit të llogarisë ishte tashmë e kompromentuar.

Tre shpjegime përshtaten me të njëjtin rresht hyrjeje. Dikush përdori një fjalëkalim të vjedhur, dhe porta bëri saktësisht atë për të cilën është ndërtuar. Një laptop i kompromentuar më herët thjesht u regjistrua si zakonisht. Një shërbëtor i ekspozuar i palidhur siguroi hyrjen e vërtetë, dhe sesioni VPN është një veprim i mëvonshëm, i veçantë i të njëjtit aktor.

Çdo shpjegim parashikon prova të ndryshme diku tjetër në mjedis, prandaj hetimi duhet të kërkojë ato parashikime dhe jo konfirmimin e shpjegimit të parë që përshtatet. Një fjalëkalim i vjedhur parashikon një gjeografi ose kohë vërtetimi të pazakontë. Një laptop i kompromentuar parashikon artefakte të hostit para hyrjes. Një pikë hyrjeje e palidhur parashikon aktivitet që nuk ka asnjë lidhje me portën.

Mbani ngjarjet veçmas përpara se t’i tregoni

Shkruani ngjarjet veçmas përpara se të ekzistojë ndonjë tregim, sepse një tregim fton ta rregulloni vijën kohore rreth një të dyshuari. Çdo rresht duhet të thotë çfarë vërteton ai regjistrim dhe, veçmas, çfarë nuk mund të vërtetojë vetëm. Në momentin që dy rreshta shkrihen në një fjali, një interpretim ka fituar tashmë.

Vini re se ngjarja e fundit ka të bëjë me zbulimin dhe jo me sulmuesin. Koha e zbulimit dhe koha e kompromentimit zakonisht ndahen me orë ose javë, dhe një raport që i barazon ato do të mashtrojë çdo lexues që vjen pas jush.

Regjistroni nga ka ardhur çdo vulë kohore, jo vetëm çfarë thotë ajo. Koha e marrjes nga mbledhësi, koha e ngjarjes dhe koha e zbulimit janë tre numra të ndryshëm, dhe normalizimi i tyre në heshtje në një kolonë është mënyra se si një vijë kohore merr një formë që provat nuk e kanë pasur kurrë.

Bashkoni regjistrimet vetëm atje ku identifikuesit përputhen

Bashkimi i regjistrimeve është një hipotezë, jo një hap formatimi. Emri i llogarisë, adresa VPN e caktuar, hosti i synuar dhe identifikuesi i sesionit duhet të përputhen përpara se dy rreshta të bëhen një histori. Një adresë publike e përbashkët nuk mjafton, sepse është e përbashkët nga dizajni.

Lexoni tabelën nga poshtë lart kur gjurmoni një hyrje, dhe nga lart poshtë kur përcaktoni shtrirjen e ndikimit, sepse të dyja pyetjet kërkojnë drejtime të kundërta. Aty ku identifikuesit përputhen vërtet, thoni dhe citoni të dy regjistrimet. Aty ku nuk përputhen, lini boshllëkun të dukshëm në vend që ta mbyllni me një supozim.

Këtu mashtron edhe një emër i njohur përdoruesi. E njëjta llogari mund të përdoret nga mbajtësi i ligjshëm në mëngjes dhe nga dikush tjetër natën, dhe emri i llogarisë vetëm nuk mund t’i dallojë ata. Atribuoni llogarinë, pastaj atribuoni personin veçmas, dhe vetëm kur diçka e mbështet atë. Shumica e vijave kohore që shkatërrohen në rishikim e bënë pikërisht këtë hap shumë shpejt.

Regjistrat që mungojnë janë një boshllëk, jo një provë negative

Mungesa e ngjarjeve të fjalëkalimit të dështuar nuk provon se hyrja e suksesshme ishte e ligjshme. Kredencialet e vjedhura të vlefshme prodhojnë një regjistrim vërtetimi të suksesshëm dhe asnjë dështim, dhe pikërisht kjo e bën vjedhjen e kredencialeve tërheqëse.

Po ashtu, një port i mbyllur sot thotë diçka për sot. Nuk thotë asgjë për atë se a ishte ai shërbëtor i ekspozuar atëherë, a ishte i cenueshëm atëherë, apo a e mbante sulmin. Konfigurimi historik dhe provat e shërbimit janë mënyra e vetme për ta mbyllur atë boshllëk.

Përmendni boshllëkun në mënyrë eksplicite në raport. «Nuk kemi regjistrime për atë interval» është një fjali e mbrojtshme; «nuk ndodhi asgjë tjetër» nuk është, dhe do t’ju citohet mbrapsht. Boshllëqet kanë edhe pronarë: emërtoni sistemin që duhej të kishte prodhuar regjistrimin dhe pse nuk e bëri. Ai rresht e kthen një lëshim në një zë rregullimi.

Shkruani gjetjet në nivelin që mbështetin provat

Koordinoni ruajtjen, frenimin dhe rikuperimin përmes pronarit të incidentit dhe jo duke e anashkaluar atë. Udhëzimi teknik i CISA thekson mbledhjen e artefakteve dhe regjistrave përkatës përpara se rregullimi të ndryshojë atë që mbetet e disponueshme, dhe ai rend ka më shumë rëndësi se çdo mjet i vetëm.

Rizbatimi i një shfrytëzimi të dyshuar ndaj pajisjeve në prodhim për të mbyllur boshllëkun nuk ia vlen rreziku i shtuar. Një test që tregon se një sulm mund të funksiononte nuk është provë se funksionoi, dhe ndryshimi midis këtyre dy pohimeve është e gjithë disiplina e ushtrimit.

Përfundoni me katër lista: çfarë u vëzhgua, çfarë marrëdhëniesh mbështetin regjistrimet, çfarë mbetet hipotezë dhe cilat regjistrime nuk janë të disponueshme. «Një llogari VPN u përdor gjatë incidentit» i takon listës së dytë kur regjistrimet e mbështetin atë. «VPN shkaktoi ransomware» nuk i takon askund derisa diçka të vërtetojë shkakësinë.