Kuingia kwenye VPN kisha ransomware: ushahidi unaunga mkono nini

Kila kitu hapa chini kinatumia rekodi ya kudhaniwa, iliyokusanywa kuonyesha umbo na si kueleza kesi halisi. Inasomwa kama mnyororo: uthibitishaji wa lango saa 02:14, kikao cha kompyuta ya mezani saa 02:19, mabadiliko ya akaunti yenye ruhusa saa 02:41, na faili zilizosimbwa zilizopatikana saa 03:02. Mstari wa kwanza unaonekana kama jibu, na ripoti mara nyingi huandikwa kana kwamba ndivyo. Kuingia ni tukio ambalo lango liliandika, si hitimisho la jinsi mtu alivyoingia, na tofauti hiyo huamua utakachofanya baadaye.

Dalili: kuingia kunakoonekana kama jibu

Kumbukumbu za uthibitishaji ni ushahidi rahisi zaidi kupata na rahisi zaidi kufasiri kupita kiasi. Zinaonyesha kwamba huduma ilikubali kitambulisho kwa wakati fulani, kutoka anwani fulani, kwa akaunti fulani. Hazionyeshi nani alidhibiti kitambulisho, kama lango lilitumika vibaya, au kama kifaa cha mmiliki wa akaunti kilikuwa tayari kimeathirika.

Maelezo matatu yanafaa mstari mmoja wa kuingia. Mtu alitumia nenosiri lililoibiwa, na lango lilifanya hasa kile kilichojengwa kwa ajili yake. Kompyuta ya mkononi iliyoathirika awali iliingia kama kawaida. Huduma iliyo wazi isiyohusiana ilitoa mwingilio halisi, na kikao cha VPN ni hatua ya baadaye, tofauti ya mhusika yuleyule.

Kila maelezo yanatabiri ushahidi tofauti mahali pengine katika mazingira, ndiyo sababu uchunguzi lazima utafute utabiri huo, si uthibitisho wa maelezo ya kwanza yanayofaa. Nenosiri lililoibiwa linatabiri jiografia au muda wa uthibitishaji usio wa kawaida. Kompyuta iliyoathirika inatabiri athari za mwenyeji kabla ya kuingia. Mahali pa kuingilia pasipo uhusiano panatabiri shughuli ambayo haina uhusiano wowote na lango.

Tenganisha matukio kabla ya kuyasimulia

Andika matukio kwa tofauti kabla ya kuwepo masimulizi yoyote, kwa sababu masimulizi hualika mstari wa muda kupangwa kuzunguka mtuhumiwa. Kila mstari unapaswa kusema rekodi hiyo inathibitisha nini na, kwa tofauti, haiwezi kuthibitisha nini peke yake. Wakati mstari miwili inapoungana katika sentensi moja, tafsiri moja tayari imeshinda.

Angalia kwamba tukio la mwisho linahusu ugunduzi na si mshambuliaji. Muda wa ugunduzi na muda wa kuathirika mara nyingi hutofautiana kwa saa au wiki, na ripoti inayolinganisha hayo itampotosha kila msomaji anayekuja baada yako.

Andika alama ya muda kila moja ilikotoka, si tu inachosema. Muda wa kupokea wa mkusanyaji, muda wa tukio na muda wa ugunduzi ni namba tatu tofauti, na kuziweka sawa kwa kimya katika safu moja ndiyo njia ambayo mstari wa muda hupata umbo ambalo ushahidi haukuwa nao kamwe.

Unganisha kumbukumbu pale tu vitambulisho vinapolingana

Kuunganisha kumbukumbu ni dhana, si hatua ya uumbizaji. Jina la akaunti, anwani ya VPN iliyotengwa, mwenyeji lengwa na kitambulisho cha kikao lazima vilingane kabla ya mistari miwili kuwa hadithi moja. Anwani ya umma inayoshirikiwa haitoshi, kwa sababu inashirikiwa kwa muundo.

Soma jedwali kutoka chini kwenda juu unapofuatilia mwingilio, na kutoka juu kwenda chini unapobainisha wigo wa athari, kwa sababu maswali mawili yanahitaji mwelekeo kinyume. Pale vitambulisho vinapolingana kweli, sema hivyo na taja kumbukumbu zote mbili. Pale visipolingana, acha pengo lionekane badala ya kulifunga kwa dhana.

Hapa pia jina la mtumiaji linalojulikana linapotosha. Akaunti hiyo hiyo inaweza kutumika na mmiliki halali asubuhi na mtu mwingine usiku, na jina la akaunti peke yake haliwezi kuwatofautisha. Husisha akaunti, kisha husisha mtu kwa tofauti, na pale tu kitu kinapounga mkono. Mistari mingi ya muda inayoanguka katika mapitio ilifanya hatua hii haraka mno.

Kumbukumbu zinazokosekana ni pengo, si ushahidi hasi

Kutokuwepo kwa matukio ya nenosiri lililoshindwa hakuonyeshi kwamba kuingia kwa mafanikio kulikuwa halali. Vitambulisho halali vilivyoibiwa huzalisha kumbukumbu ya uthibitishaji iliyofanikiwa na hakuna kushindwa kabisa, na hiyo ndiyo inayofanya wizi wa vitambulisho kuvutia.

Vivyo hivyo, lango lililofungwa leo linasema kitu kuhusu leo. Halisemi chochote kuhusu kama huduma hiyo ilikuwa wazi wakati huo, kama ilikuwa hatarishi wakati huo, au kama ilibeba shambulio. Usanidi wa kihistoria na ushahidi wa huduma ndiyo njia pekee ya kufunga pengo hilo.

Taja pengo waziwazi katika ripoti. «Hatuna kumbukumbu za kipindi hicho» ni sentensi inayoweza kutetewa; «hakuna kingine kilichotokea» sivyo, na itanukuliwa kwako. Mapengo yana wamiliki pia: taja mfumo ambao ulipaswa kuzalisha kumbukumbu na kwa nini haukufanya hivyo. Mstari huo hubadilisha uachaji kuwa kipengele cha marekebisho.

Andika matokeo kwa kiwango ambacho ushahidi unaunga mkono

Ratibu uhifadhi, uzuiaji na urejeshaji kupitia mmiliki wa tukio badala ya kumzunguka. Mwongozo wa kiufundi wa CISA unasisitiza ukusanyaji wa athari na kumbukumbu husika kabla marekebisho hayajabadilisha kile kinachobaki kupatikana, na mpangilio huo ni muhimu kuliko zana yoyote moja.

Kuendesha tena ushambuliaji unaodhaniwa dhidi ya vifaa vinavyotumika ili kufunga pengo hakustahili hatari inayoongeza. Jaribio linaloonyesha kwamba shambulio lingeweza kufanya kazi si ushahidi kwamba lilifanya kazi, na tofauti kati ya kauli hizo mbili ni nidhamu yote ya zoezi hili.

Maliza na orodha nne: kile kilichozingatiwa, uhusiano gani kumbukumbu zinaunga mkono, kile kinachobaki kuwa dhana na kumbukumbu zipi hazipatikani. «Akaunti ya VPN ilitumika wakati wa tukio» iko kwenye orodha ya pili pale kumbukumbu zinapounga mkono. «VPN ilisababisha ransomware» haiko mahali popote hadi kitu kithibitishe sababu.