Пријава на VPN и потом откупни софтвер: шта потврђују докази
Пријава у 02:14 и шифроване датотеке у 03:02 јесу след вредан истраге, а не улазна тачка. Држите одвојено доказе аутентификације, сесије и хоста.
Све испод користи хипотетички запис, састављен да покаже облик, а не да опише стваран случај. Чита се као ланац: аутентификација на пролазу у 02:14, сесија радне површине у 02:19, промена привилегованог налога у 02:41 и шифроване датотеке пронађене у 03:02. Први ред изгледа као одговор, и извештај се често пише као да јесте. Пријава је догађај који је пролаз забележио, а не налаз о томе како је неко ушао, и та разлика одлучује шта ћете учинити даље.
Симптом: пријава која изгледа као одговор
Записи аутентификације су најлакши докази за добијање и најлакши за претерано тумачење. Показују да је услуга прихватила акредитив у одређено време, са одређене адресе, за одређени налог. Не показују ко је контролисао акредитив, да ли је пролаз злоупотребљен или да ли је уређај власника налога већ био компромитован.
Три објашњења одговарају истој линији пријаве. Неко је употребио украдену лозинку и пролаз је учинио тачно оно за шта је направљен. Лаптоп који је раније компромитован једноставно се пријавио као и обично. Неповезана изложена услуга пружила је прави улаз, а VPN сесија је каснија, одвојена радња истог актера.
Свако објашњење предвиђа различите доказе другде у окружењу, зато истрага мора да тражи та предвиђања, а не потврду првог које се уклопи. Украдена лозинка предвиђа необичну географију или време аутентификације. Компромитован лаптоп предвиђа артефакте хоста пре пријаве. Неповезана улазна тачка предвиђа активност која уопште нема везе са пролазом.
Држите догађаје одвојено пре него што их испричате
Запишите догађаје одвојено пре него што постоји било какво приповедање, јер приповедање позива да се временска линија уреди око осумњиченог. Сваки ред треба да каже шта тај запис утврђује и, одвојено, шта не може сам да утврди. У тренутку када се два реда споје у једну реченицу, тумачење је већ победило.
Приметите да се последњи догађај односи на откривање, а не на нападача. Време откривања и време компромитације редовно се разликују за сате или недеље, а извештај који их изједначи завешће сваког читаоца који дође после вас.
Забележите одакле потиче свака временска ознака, не само шта говори. Време пријема код сакупљача, време догађаја и време откривања су три различита броја, а тихо нормализовање у једну колону је начин на који временска линија добија облик који докази никада нису имали.
Спајајте записе само тамо где се идентификатори поклапају
Спајање записа је хипотеза, а не корак форматирања. Име налога, додељена VPN адреса, циљни хост и идентификатор сесије морају да се поклопе пре него што два реда постану једна прича. Заједничка јавна адреса није довољна, јер је заједничка по дизајну.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Читајте табелу одоздо нагоре када пратите улаз, и одозго надоле када одређујете обим утицаја, јер оба питања траже супротне смерове. Где се идентификатори заиста поклапају, реците то и наведите оба записа. Где се не поклапају, оставите празнину видљивом уместо да је затворите претпоставком.
Овде такође заводи познато корисничко име. Исти налог може ујутру да користи законити власник, а ноћу неко други, и само име налога не може да их разликује. Припишите налог, затим одвојено припишите особу, и само када нешто то подржава. Већина временских линија које се распадну на прегледу направила је управо овај корак пребрзо.
Недостајући дневници су празнина, а не негативан доказ
Одсуство догађаја са неуспешном лозинком не доказује да је успешна пријава била законита. Важећи украдени акредитиви дају успешан запис аутентификације и ниједан неуспех, и управо то чини крађу акредитива привлачном.
Слично, порт који је данас затворен каже нешто о данас. Не каже ништа о томе да ли је та услуга тада била изложена, да ли је тада била рањива или да ли је носила напад. Историјска конфигурација и докази услуге једини су начин да се та празнина затвори.
Наведите празнину експлицитно у извештају. „Немамо записе за тај интервал“ је реченица која се може бранити; „ништа друго се није догодило“ није, и то ће вам бити цитирано назад. Празнине имају и власнике: наведите систем који је требало да произведе запис и зашто није. Тај ред претвара пропуст у ставку за исправку.
Пишите налазе на нивоу који докази подржавају
Координирајте чување, ограничавање и опоравак кроз власника инцидента, а не мимо њега. Техничке смернице CISA наглашавају прикупљање релевантних артефаката и дневника пре него што исправка промени оно што остаје доступно, и тај редослед је важнији од било ког појединачног алата.
Поновно покретање сумњивог експлоита на живој опреми да би се празнина затворила није вредно додатног ризика. Тест који показује да је напад могао да успе не доказ је да је успео, а разлика између те две тврдње је цела дисциплина вежбе.
Завршите са четири списка: шта је уочено, које односе записи подржавају, шта остаје хипотеза и који записи нису доступни. „VPN налог је коришћен током инцидента“ припада другом списку када записи то подржавају. „VPN је проузроковао откупни софтвер“ не припада нигде док нешто не утврди узрочност.