VPN లాగిన్ తర్వాత ransomware: సాక్ష్యాలు ఏమి బలపరుస్తాయి
02:14న లాగిన్ మరియు 03:02న ఎన్‌క్రిప్ట్ చేసిన ఫైళ్లు — ఇది దర్యాప్తు చేయదగిన క్రమం, ప్రవేశ బిందువు కాదు. ప్రామాణీకరణ, సెషన్ మరియు హోస్ట్ సాక్ష్యాలను వేరుగా ఉంచండి.
కింద ఉన్నవన్నీ ఒక ఊహాత్మక రికార్డును ఉపయోగిస్తాయి, అది నిజమైన కేసును వివరించడానికి కాదు, ఒక ఆకారాన్ని చూపడానికి సమకూర్చబడింది. ఇది గొలుసులా చదవబడుతుంది: 02:14న గేట్‌వే ప్రామాణీకరణ, 02:19న డెస్క్‌టాప్ సెషన్, 02:41న ప్రత్యేక అధికారాల ఖాతా మార్పు, మరియు 03:02న కనుగొనబడిన ఎన్‌క్రిప్ట్ చేసిన ఫైళ్లు. మొదటి పంక్తి సమాధానంలా కనిపిస్తుంది, నివేదిక కూడా అదే అన్నట్లుగా తరచుగా రాయబడుతుంది. లాగిన్ అనేది గేట్‌వే నమోదు చేసిన సంఘటన, ఎవరైనా ఎలా లోపలికి వచ్చారనే నిర్ణయం కాదు, ఆ భేదమే తర్వాత మీరు ఏమి చేయాలో నిర్ణయిస్తుంది.
లక్షణం: సమాధానంలా కనిపించే లాగిన్
ప్రామాణీకరణ రికార్డులు పొందడానికి సులభమైన సాక్ష్యాలు మరియు అతిగా అర్థం చేసుకోవడానికి కూడా సులభమైనవి. సేవ ఒక సమయంలో, ఒక చిరునామా నుండి, ఒక ఖాతా కోసం ఒక ఆధారాన్ని అంగీకరించిందని అవి చూపిస్తాయి. ఆధారాన్ని ఎవరు నియంత్రించారు, గేట్‌వే దుర్వినియోగం అయిందా, లేదా ఖాతాదారుడి పరికరం ఇప్పటికే దెబ్బతిన్నదా అనేది అవి చూపవు.
మూడు వివరణలు ఒకే లాగిన్ పంక్తికి సరిపోతాయి. ఎవరో దొంగిలించిన పాస్‌వర్డ్ ఉపయోగించారు, గేట్‌వే తన కోసం నిర్మించిన పనిని సరిగ్గా చేసింది. ముందే దెబ్బతిన్న ల్యాప్‌టాప్ యథావిధిగా లాగిన్ అయింది. సంబంధం లేని బహిర్గత సేవ నిజమైన ప్రవేశాన్ని ఇచ్చింది, VPN సెషన్ అదే నటుడి తర్వాతి, వేరే చర్య.
ప్రతి వివరణ పరిసరాలలో వేరే చోట వేరే సాక్ష్యాలను ముందుగా చెబుతుంది, కాబట్టి దర్యాప్తు ఆ అంచనాలను వెతకాలి, మొదట సరిపోయే వివరణను ధృవీకరించడం కాదు. దొంగిలించిన పాస్‌వర్డ్ అసాధారణ ప్రామాణీకరణ భూగోళం లేదా సమయాన్ని ముందుగా చెబుతుంది. దెబ్బతిన్న ల్యాప్‌టాప్ లాగిన్‌కు ముందు హోస్ట్ అవశేషాలను ముందుగా చెబుతుంది. సంబంధం లేని ప్రవేశ బిందువు గేట్‌వేతో ఎలాంటి సంబంధం లేని కార్యకలాపాన్ని ముందుగా చెబుతుంది.
వివరించే ముందు సంఘటనలను వేరుగా ఉంచండి
ఏ కథనం ఉనికిలోకి రాకముందే సంఘటనలను విడివిడిగా రాయండి, ఎందుకంటే కథనం కాలరేఖను అనుమానితుడి చుట్టూ అమర్చమని ఆహ్వానిస్తుంది. ప్రతి పంక్తి ఆ రికార్డు ఏమి నిర్ధారిస్తుంది మరియు విడిగా, ఒంటరిగా ఏమి నిర్ధారించలేదు అని చెప్పాలి. రెండు పంక్తులు ఒకే వాక్యంలో కలిసిపోయిన క్షణంలో, ఒక వ్యాఖ్యానం ఇప్పటికే గెలిచింది.
చివరి సంఘటన దాడి చేసిన వ్యక్తి గురించి కాదు, గుర్తింపు గురించి అని గమనించండి. కనుగొన్న సమయం మరియు దెబ్బతిన్న సమయం సాధారణంగా గంటలు లేదా వారాల తేడాతో ఉంటాయి, రెండింటినీ సమానం చేసే నివేదిక మీ తర్వాత వచ్చే ప్రతి పాఠకుడిని తప్పుదారి పట్టిస్తుంది.
ప్రతి సమయ ముద్ర ఎక్కడి నుండి వచ్చిందో నమోదు చేయండి, అది ఏమి చెబుతుందో మాత్రమే కాదు. సేకరణదారు స్వీకరణ సమయం, సంఘటన సమయం మరియు గుర్తింపు సమయం మూడు వేరే సంఖ్యలు, వాటిని నిశ్శబ్దంగా ఒక నిలువు వరుసకు సాధారణీకరించడమే సాక్ష్యాలకు ఎప్పుడూ లేని ఆకారాన్ని కాలరేఖకు ఇచ్చే మార్గం.
గుర్తింపుదారులు సరిపోయే చోట మాత్రమే రికార్డులను కలపండి
రికార్డులను కలపడం ఒక పరికల్పన, ఆకృతీకరణ దశ కాదు. ఖాతా పేరు, కేటాయించిన VPN చిరునామా, లక్ష్య హోస్ట్ మరియు సెషన్ గుర్తింపుదారు రెండు పంక్తులు ఒక కథ అవ్వడానికి ముందు సరిపోవాలి. పంచుకున్న పబ్లిక్ చిరునామా సరిపోదు, ఎందుకంటే అది రూపకల్పన ద్వారానే పంచుకోబడుతుంది.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
ప్రవేశాన్ని ట్రేస్ చేస్తున్నప్పుడు పట్టికను క్రింద నుండి పైకి చదవండి, ప్రభావ పరిధిని నిర్ణయించేటప్పుడు పై నుండి క్రిందకు, ఎందుకంటే రెండు ప్రశ్నలకు వ్యతిరేక దిశలు కావాలి. గుర్తింపుదారులు నిజంగా సరిపోయే చోట అది చెప్పి రెండు రికార్డులను ఉటంకించండి. సరిపోని చోట ఊహతో ఖాళీని మూసే బదులు కనిపించేలా ఉంచండి.
ఇక్కడ పరిచయమైన వినియోగదారు పేరు కూడా తప్పుదారి పట్టిస్తుంది. అదే ఖాతాను ఉదయం చట్టబద్ధమైన యజమాని మరియు రాత్రి మరొకరు ఉపయోగించవచ్చు, ఖాతా పేరు మాత్రమే వారిని వేరు చేయలేదు. ఖాతాను ఆరోపించండి, తర్వాత వ్యక్తిని విడిగా ఆరోపించండి, ఏదైనా దాన్ని బలపరిస్తే మాత్రమే. సమీక్షలో విరిగిపోయే చాలా కాలరేఖలు ఈ అడుగును చాలా వేగంగా వేశాయి.
తప్పిపోయిన లాగ్‌లు ఖాళీ, ప్రతికూల సాక్ష్యం కాదు
విఫలమైన పాస్‌వర్డ్ సంఘటనలు లేకపోవడం విజయవంతమైన లాగిన్ చట్టబద్ధమని నిరూపించదు. చెల్లుబాటు అయ్యే దొంగిలించిన ఆధారాలు విజయవంతమైన ప్రామాణీకరణ రికార్డును ఇస్తాయి మరియు ఒక్క వైఫల్యం కూడా ఇవ్వవు, అదే ఆధార దొంగతనాన్ని ఆకర్షణీయంగా చేస్తుంది.
అలాగే, ఈరోజు మూసి ఉన్న పోర్ట్ ఈరోజు గురించి ఏదో చెబుతుంది. ఆ సేవ అప్పుడు బహిర్గతమైందా, అప్పుడు బలహీనంగా ఉందా, లేదా దాడిని మోసిందా అనే దాని గురించి ఏమీ చెప్పదు. చారిత్రక కాన్ఫిగరేషన్ మరియు సేవా సాక్ష్యాలు మాత్రమే ఆ ఖాళీని మూయగల మార్గం.
నివేదికలో ఖాళీని స్పష్టంగా పేర్కొనండి. «ఆ వ్యవధికి మాకు రికార్డులు లేవు» అనేది సమర్థించదగిన వాక్యం; «మరేమీ జరగలేదు» కాదు, అది మీకు ఉటంకించి తిరిగి చెప్పబడుతుంది. ఖాళీలకు యజమానులు కూడా ఉంటారు: రికార్డును ఉత్పత్తి చేయాల్సిన వ్యవస్థను మరియు ఎందుకు చేయలేదో పేర్కొనండి. ఆ పంక్తి ఒక మినహాయింపును సవరణ అంశంగా మారుస్తుంది.
సాక్ష్యాలు బలపరిచే స్థాయిలో కనుగొన్న విషయాలు రాయండి
సంరక్షణ, నియంత్రణ మరియు పునరుద్ధరణను సంఘటన యజమాని ద్వారా సమన్వయం చేయండి, ఆయనను బైపాస్ చేయకుండా. CISA యొక్క సాంకేతిక మార్గదర్శకత్వం సవరణ అందుబాటులో ఉన్నదాన్ని మార్చే ముందు సంబంధిత కళాఖండాలు మరియు లాగ్‌లను సేకరించాలని నొక్కి చెబుతుంది, ఆ క్రమం ఏ ఒక్క సాధనం కంటే ముఖ్యం.
ఖాళీని మూయడానికి సజీవ పరికరాలపై అనుమానిత ఎక్స్‌ప్లాయిట్‌ను మళ్లీ అమలు చేయడం దాను జోడించే ప్రమాదానికి తగినది కాదు. దాడి పని చేయగలిగిందని చూపే పరీక్ష అది పని చేసిందని రుజువు కాదు, ఆ రెండు ప్రకటనల మధ్య భేదమే ఈ వ్యాయామం మొత్తం క్రమశిక్షణ.
నాలుగు జాబితాలతో ముగించండి: ఏమి గమనించారు, రికార్డులు ఏ సంబంధాలను బలపరుస్తాయి, ఏది పరికల్పనగా మిగిలింది మరియు ఏ రికార్డులు అందుబాటులో లేవు. «సంఘటన సమయంలో VPN ఖాతా ఉపయోగించబడింది» రికార్డులు దాన్ని బలపరిస్తే రెండో జాబితాలో చేరుతుంది. «VPN ransomware కు కారణమైంది» ఏదో కారణాన్ని నిర్ధారించే వరకు ఎక్కడా చేరదు.