VPN உள்நுழைவு பின்னர் ransomware: சான்றுகள் எதை ஆதரிக்கின்றன

கீழே உள்ள அனைத்தும் ஒரு கற்பனைப் பதிவைப் பயன்படுத்துகிறது, இது உண்மையான வழக்கை விவரிக்க அல்ல, ஒரு வடிவத்தைக் காட்டக் கூட்டப்பட்டது. இது ஒரு சங்கிலியாகப் படிக்கப்படுகிறது: 02:14 இல் நுழைவாயில் அங்கீகாரம், 02:19 இல் டெஸ்க்டாப் அமர்வு, 02:41 இல் சிறப்புரிமை பெற்ற கணக்கின் மாற்றம், மற்றும் 03:02 இல் கண்டறியப்பட்ட மறையாக்கப்பட்ட கோப்புகள். முதல் வரி பதிலைப் போலத் தெரிகிறது, அறிக்கையும் அதுவே என்று போல அடிக்கடி எழுதப்படுகிறது. உள்நுழைவு என்பது நுழைவாயில் பதிவு செய்த நிகழ்வு, யாரோ எப்படி உள்ளே வந்தார் என்பதற்கான முடிவு அல்ல, அந்த வேறுபாடே அடுத்து என்ன செய்வது என்பதைத் தீர்மானிக்கிறது.

அறிகுறி: பதிலைப் போலத் தெரியும் உள்நுழைவு

அங்கீகாரப் பதிவுகள் பெற எளிதான சான்றுகள் மற்றும் அதிகமாகப் பொருள் கொள்ள எளிதானவை. சேவை ஒரு நேரத்தில், ஒரு முகவரியிலிருந்து, ஒரு கணக்கிற்கு ஒரு சான்றளிப்பை ஏற்றுக்கொண்டது என்பதை அவை காட்டுகின்றன. சான்றளிப்பை யார் கட்டுப்படுத்தினார், நுழைவாயில் தவறாகப் பயன்படுத்தப்பட்டதா, அல்லது கணக்கு உரிமையாளரின் சாதனம் ஏற்கனவே சமரசம் செய்யப்பட்டதா என்பதை அவை காட்டுவதில்லை.

மூன்று விளக்கங்கள் ஒரே உள்நுழைவு வரிக்குப் பொருந்துகின்றன. ஒருவர் திருடப்பட்ட கடவுச்சொல்லைப் பயன்படுத்தினார், நுழைவாயில் அது உருவாக்கப்பட்ட நோக்கத்தைச் சரியாகச் செய்தது. முன்பு சமரசம் செய்யப்பட்ட மடிக்கணினி வழக்கம்போல உள்நுழைந்தது. தொடர்பில்லாத வெளிப்படுத்தப்பட்ட சேவை உண்மையான நுழைவை வழங்கியது, VPN அமர்வு அதே நடிகரின் பிற்கால, தனி நடவடிக்கை.

ஒவ்வொரு விளக்கமும் சூழலின் வேறு இடத்தில் வேறு சான்றுகளை முன்னறிவிக்கிறது, எனவே விசாரணை அந்த முன்னறிவிப்புகளைத் தேட வேண்டும், முதல் பொருந்தும் விளக்கத்தின் உறுதிப்படுத்தலை அல்ல. திருடப்பட்ட கடவுச்சொல் அசாதாரண அங்கீகாரப் புவியியல் அல்லது நேரத்தை முன்னறிவிக்கிறது. சமரசம் செய்யப்பட்ட மடிக்கணினி உள்நுழைவுக்கு முன் புரவலன் எச்சங்களை முன்னறிவிக்கிறது. தொடர்பில்லாத நுழைவுப் புள்ளி நுழைவாயிலுடன் எந்தத் தொடர்பும் இல்லாத செயல்பாட்டை முன்னறிவிக்கிறது.

கூறுவதற்கு முன் நிகழ்வுகளைத் தனித்து வையுங்கள்

எந்தக் கதையும் உருவாகும் முன் நிகழ்வுகளைத் தனித்தனியாக எழுதுங்கள், ஏனெனில் கதை காலவரிசையை ஒரு சந்தேக நபரைச் சுற்றி ஒழுங்கமைக்க அழைக்கிறது. ஒவ்வொரு வரியும் அந்தப் பதிவு எதை நிறுவுகிறது, தனியாக, எதைத் தனியாக நிறுவ முடியாது என்பதைச் சொல்ல வேண்டும். இரண்டு வரிகள் ஒரே வாக்கியமாக இணையும் தருணத்தில், ஒரு விளக்கம் ஏற்கனவே வென்றுவிட்டது.

கடைசி நிகழ்வு தாக்குபவரைப் பற்றியதல்ல, கண்டறிதலைப் பற்றியது என்பதைக் கவனியுங்கள். கண்டறிதல் நேரமும் சமரச நேரமும் வழக்கமாக மணிநேரங்கள் அல்லது வாரங்களால் வேறுபடும், இரண்டையும் சமமாகக் கருதும் அறிக்கை உங்களுக்குப் பின் வரும் ஒவ்வொரு வாசகரையும் தவறாக வழிநடத்தும்.

ஒவ்வொரு நேர முத்திரையும் எங்கிருந்து வந்தது என்பதைப் பதிவு செய்யுங்கள், அது என்ன சொல்கிறது என்பதை மட்டுமல்ல. சேகரிப்பவரின் பெறுதல் நேரம், நிகழ்வு நேரம் மற்றும் கண்டறிதல் நேரம் மூன்று வெவ்வேறு எண்கள், அவற்றை அமைதியாக ஒரே நிரலாக இயல்பாக்குவதே சான்றுகளுக்கு ஒருபோதும் இல்லாத வடிவத்தைக் காலவரிசைக்கு அளிக்கும் வழி.

அடையாளங்கள் பொருந்தும் இடத்தில் மட்டும் பதிவுகளை இணையுங்கள்

பதிவுகளை இணைப்பது ஒரு கருதுகோள், வடிவமைப்பு நடவடிக்கை அல்ல. கணக்கின் பெயர், ஒதுக்கப்பட்ட VPN முகவரி, இலக்கு புரவலன் மற்றும் அமர்வு அடையாளம் ஆகியவை இரண்டு வரிகள் ஒரு கதையாகும் முன் பொருந்த வேண்டும். பகிரப்பட்ட பொது முகவரி போதாது, ஏனெனில் அது வடிவமைப்பால் பகிரப்படுகிறது.

நுழைவைத் தடமறியும்போது அட்டவணையை கீழிருந்து மேலாகப் படியுங்கள், தாக்கத்தின் அளவை வரையறுக்கும்போது மேலிருந்து கீழாக, ஏனெனில் இரண்டு கேள்விகளுக்கும் எதிர் திசைகள் தேவை. அடையாளங்கள் உண்மையில் பொருந்தும் இடத்தில் அதைச் சொல்லி இரண்டு பதிவுகளையும் மேற்கோள் காட்டுங்கள். பொருந்தாத இடத்தில் ஊகத்தால் இடைவெளியை மூடாமல் தெரியும்படி விடுங்கள்.

இங்கே பரிச்சயமான பயனர் பெயரும் தவறாக வழிநடத்துகிறது. அதே கணக்கை காலையில் சட்டபூர்வ உரிமையாளரும் இரவில் வேறொருவரும் பயன்படுத்தலாம், கணக்கின் பெயர் மட்டும் அவர்களை வேறுபடுத்த முடியாது. கணக்கைக் காரணமாக்குங்கள், பின்னர் நபரைத் தனியாகக் காரணமாக்குங்கள், ஏதாவது அதை ஆதரிக்கும்போது மட்டும். மறுஆய்வில் உடையும் பெரும்பாலான காலவரிசைகள் இந்தப் படியை மிக விரைவாக எடுத்தன.

காணாமற்போன பதிவுகள் இடைவெளி, எதிர்மறைச் சான்று அல்ல

தோல்வியடைந்த கடவுச்சொல் நிகழ்வுகள் இல்லாதது வெற்றிகரமான உள்நுழைவு சட்டபூர்வமானது என்பதை நிரூபிக்காது. செல்லுபடியாகும் திருடப்பட்ட சான்றளிப்புகள் வெற்றிகரமான அங்கீகாரப் பதிவை உருவாக்கி எந்தத் தோல்வியும் இல்லை, அதுவே சான்றளிப்புத் திருட்டை கவர்ச்சிகரமானதாக்குகிறது.

அதேபோல், இன்று மூடப்பட்ட துறைமுகம் இன்றைப் பற்றி ஏதோ சொல்கிறது. அந்தச் சேவை அப்போது வெளிப்படுத்தப்பட்டதா, அப்போது பாதிக்கக்கூடியதா, அல்லது தாக்குதலைச் சுமந்ததா என்பதைப் பற்றி எதுவும் சொல்லவில்லை. வரலாற்று உள்ளமைவும் சேவைச் சான்றுகளும் மட்டுமே அந்த இடைவெளியை மூடும் வழி.

அறிக்கையில் இடைவெளியை வெளிப்படையாகக் குறிப்பிடுங்கள். «அந்த இடைவெளிக்கு எங்களிடம் பதிவுகள் இல்லை» என்பது பாதுகாக்கக்கூடிய வாக்கியம்; «வேறு எதுவும் நடக்கவில்லை» அல்ல, அது உங்களுக்கு மேற்கோள் காட்டித் திருப்பப்படும். இடைவெளிகளுக்கு உரிமையாளர்களும் உண்டு: பதிவை உருவாக்கியிருக்க வேண்டிய அமைப்பையும் ஏன் உருவாக்கவில்லை என்பதையும் பெயரிடுங்கள். அந்த வரி ஒரு விடுபடலைத் திருத்த உருப்படியாக மாற்றுகிறது.

சான்றுகள் ஆதரிக்கும் மட்டத்தில் கண்டுபிடிப்புகளை எழுதுங்கள்

பாதுகாப்பு, கட்டுப்பாடு மற்றும் மீட்பை சம்பவ உரிமையாளர் வழியாக ஒருங்கிணைக்கவும், அவரைச் சுற்றி அல்ல. CISA இன் தொழில்நுட்ப வழிகாட்டுதல் திருத்தம் கிடைக்கக்கூடியதை மாற்றும் முன் தொடர்புடைய கலைப்பொருட்களையும் பதிவுகளையும் சேகரிக்க வலியுறுத்துகிறது, அந்த வரிசை எந்த ஒரு கருவியையும் விட முக்கியம்.

இடைவெளியை மூட செயலில் உள்ள உபகரணங்களில் சந்தேகத்திற்குரிய எக்ஸ்ப்ளாய்ட்டை மீண்டும் இயக்குவது அது சேர்க்கும் ஆபத்துக்கு மதிப்பில்லை. தாக்குதல் வேலை செய்திருக்கக்கூடும் எனக் காட்டும் சோதனை அது வேலை செய்தது என்பதற்கான சான்று அல்ல, அந்த இரண்டு கூற்றுகளுக்கு இடையிலான வேறுபாடே இந்தப் பயிற்சியின் முழு ஒழுக்கம்.

நான்கு பட்டியல்களுடன் முடியுங்கள்: என்ன கவனிக்கப்பட்டது, பதிவுகள் எந்த உறவுகளை ஆதரிக்கின்றன, என்ன கருதுகோளாக உள்ளது மற்றும் எந்தப் பதிவுகள் கிடைக்கவில்லை. «சம்பவத்தின் போது VPN கணக்கு பயன்படுத்தப்பட்டது» பதிவுகள் ஆதரிக்கும்போது இரண்டாவது பட்டியலில் சேர்கிறது. «VPN ransomware ஐ ஏற்படுத்தியது» ஏதாவது காரணத்தை நிறுவும் வரை எங்கும் சேராது.