เข้าสู่ระบบ VPN แล้วเจอแรนซัมแวร์: หลักฐานสนับสนุนอะไร
การเข้าสู่ระบบเวลา 02:14 และไฟล์ที่ถูกเข้ารหัสเวลา 03:02 เป็นลำดับที่ควรสอบสวน ไม่ใช่จุดเข้าออก แยกหลักฐานการยืนยันตัวตน เซสชัน และโฮสต์ออกจากกัน
ทุกอย่างด้านล่างใช้บันทึกสมมติที่ประกอบขึ้นเพื่อแสดงรูปร่าง ไม่ใช่เพื่อบรรยายเหตุการณ์จริง มันอ่านเหมือนโซ่: การยืนยันตัวตนที่เกตเวย์เวลา 02:14 เซสชันเดสก์ท็อปเวลา 02:19 การเปลี่ยนบัญชีที่มีสิทธิพิเศษเวลา 02:41 และไฟล์ที่ถูกเข้ารหัสซึ่งพบเวลา 03:02 บรรทัดแรกดูเหมือนคำตอบ และรายงานก็มักเขียนราวกับว่าเป็นคำตอบ การเข้าสู่ระบบเป็นเหตุการณ์ที่เกตเวย์บันทึกไว้ ไม่ใช่ข้อสรุปว่าใครเข้ามาได้อย่างไร และความต่างนั้นเป็นตัวกำหนดว่าคุณจะทำอะไรต่อไป
อาการ: การเข้าสู่ระบบที่ดูเหมือนคำตอบ
บันทึกการยืนยันตัวตนเป็นหลักฐานที่หาง่ายที่สุดและตีความเกินได้ง่ายที่สุด มันแสดงว่าบริการยอมรับข้อมูลรับรอง ณ เวลาหนึ่ง จากที่อยู่หนึ่ง สำหรับบัญชีหนึ่ง แต่ไม่แสดงว่าใครควบคุมข้อมูลรับรองนั้น เกตเวย์ถูกใช้ประโยชน์หรือไม่ หรืออุปกรณ์ของเจ้าของบัญชีถูกบุกรุกไปแล้วหรือไม่
มีสามคำอธิบายที่เข้ากับบรรทัดการเข้าสู่ระบบเดียวกัน มีคนใช้รหัสผ่านที่ถูกขโมย และเกตเวย์ก็ทำสิ่งที่มันถูกสร้างมาให้ทำ โน้ตบุ๊กที่ถูกบุกรุกมาก่อนก็เพียงเข้าสู่ระบบตามปกติ บริการที่เปิดเผยโดยไม่เกี่ยวข้องเป็นทางเข้าจริง และเซสชัน VPN คือการกระทำในภายหลังที่แยกต่างหากของตัวแสดงเดียวกัน
แต่ละคำอธิบายทำนายหลักฐานที่ต่างกันในที่อื่นของสภาพแวดล้อม ดังนั้นการสอบสวนต้องมองหาการทำนายเหล่านั้น ไม่ใช่การยืนยันคำอธิบายแรกที่เข้ากัน รหัสผ่านที่ถูกขโมยทำนายภูมิศาสตร์หรือเวลาของการยืนยันตัวตนที่ผิดปกติ โน้ตบุ๊กที่ถูกบุกรุกทำนายร่องรอยของโฮสต์ก่อนการเข้าสู่ระบบ จุดเข้าที่ไม่เกี่ยวข้องทำนายกิจกรรมที่ไม่เกี่ยวกับเกตเวย์เลย
แยกเหตุการณ์ออกจากกันก่อนจะเล่า
เขียนเหตุการณ์แยกกันก่อนที่เรื่องเล่าจะเกิดขึ้น เพราะเรื่องเล่าชักชวนให้จัดลำดับเวลาไว้รอบผู้ต้องสงสัย แต่ละบรรทัดควรบอกว่าบันทึกนั้นยืนยันอะไร และแยกกันว่าเพียงลำพังมันยืนยันอะไรไม่ได้ ทันทีที่สองบรรทัดรวมเป็นประโยคเดียว การตีความก็ชนะไปแล้ว
สังเกตว่าเหตุการณ์สุดท้ายเกี่ยวกับการตรวจจับ ไม่ใช่ผู้โจมตี เวลาที่พบกับเวลาที่ถูกบุกรุกมักห่างกันหลายชั่วโมงหรือหลายสัปดาห์ และรายงานที่ทำให้สองสิ่งนี้เท่ากันจะทำให้ผู้อ่านทุกคนที่มาหลังคุณเข้าใจผิด
บันทึกว่าแต่ละตราเวลามาจากไหน ไม่ใช่แค่บอกว่าอะไร เวลาที่ตัวเก็บรับมา เวลาของเหตุการณ์ และเวลาที่ตรวจจับได้เป็นตัวเลขสามค่าที่ต่างกัน และการปรับให้เป็นคอลัมน์เดียวอย่างเงียบ ๆ คือวิธีที่เส้นเวลาจะได้รูปร่างที่หลักฐานไม่เคยมี
เชื่อมบันทึกเฉพาะที่ตัวระบุตรงกัน
การรวมบันทึกเป็นสมมติฐาน ไม่ใช่ขั้นตอนการจัดรูปแบบ ชื่อบัญชี ที่อยู่ VPN ที่ได้รับมอบหมาย โฮสต์เป้าหมาย และตัวระบุเซสชันต้องตรงกันก่อนที่สองแถวจะกลายเป็นเรื่องเดียว ที่อยู่สาธารณะที่ใช้ร่วมกันไม่เพียงพอ เพราะมันใช้ร่วมกันโดยการออกแบบ
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
อ่านตารางจากล่างขึ้นบนเมื่อติดตามทางเข้า และจากบนลงล่างเมื่อกำหนดขอบเขตผลกระทบ เพราะสองคำถามต้องทิศทางตรงข้ามกัน ที่ตัวระบุตรงกันจริง ให้บอกเช่นนั้นและอ้างทั้งสองบันทึก ที่ไม่ตรงกัน ให้เว้นช่องว่างให้เห็นแทนที่จะปิดด้วยข้อสันนิษฐาน
ตรงนี้ชื่อผู้ใช้ที่คุ้นเคยก็ทำให้เข้าใจผิดด้วย บัญชีเดียวกันอาจถูกใช้โดยเจ้าของที่ชอบธรรมตอนเช้าและคนอื่นตอนกลางคืน และชื่อบัญชีเพียงอย่างเดียวแยกสองคนนั้นไม่ได้ ให้ระบุบัญชี แล้วแยกระบุตัวบุคคล และเฉพาะเมื่อมีสิ่งสนับสนุน เส้นเวลาส่วนใหญ่ที่พังในการตรวจทานทำขั้นตอนนี้เร็วเกินไป
บันทึกที่หายไปคือช่องว่าง ไม่ใช่หลักฐานเชิงลบ
การไม่มีเหตุการณ์รหัสผ่านล้มเหลวไม่ได้พิสูจน์ว่าการเข้าสู่ระบบที่สำเร็จนั้นชอบธรรม ข้อมูลรับรองที่ถูกขโมยและยังใช้ได้สร้างบันทึกการยืนยันตัวตนที่สำเร็จและไม่มีความล้มเหลวเลย และนั่นคือสิ่งที่ทำให้การขโมยข้อมูลรับรองน่าสนใจ
ในทำนองเดียวกัน พอร์ตที่ปิดอยู่วันนี้บอกอะไรบางอย่างเกี่ยวกับวันนี้ แต่มันไม่บอกอะไรเลยว่าบริการนั้นเปิดเผยตอนนั้นหรือไม่ อ่อนแอตอนนั้นหรือไม่ หรือรับมือการโจมตีหรือไม่ การกำหนดค่าและหลักฐานของบริการในอดีตเป็นวิธีเดียวที่จะปิดช่องว่างนั้น
ระบุช่องว่างอย่างชัดเจนในรายงาน «เราไม่มีบันทึกสำหรับช่วงนั้น» เป็นประโยคที่ป้องกันได้ ส่วน «ไม่มีอะไรอื่นเกิดขึ้น» ไม่ใช่ และมันจะถูกยกมาอ้างกลับมาที่คุณ ช่องว่างยังมีเจ้าของ: ระบุระบบที่ควรสร้างบันทึกและเหตุผลที่มันไม่ทำ บรรทัดนั้นเปลี่ยนการละเว้นให้เป็นรายการแก้ไข
เขียนข้อค้นพบในระดับที่หลักฐานสนับสนุน
ประสานการเก็บรักษา การจำกัด และการกู้คืนผ่านเจ้าของเหตุการณ์ ไม่ใช่เลี่ยงเขา แนวทางทางเทคนิคของ CISA เน้นการเก็บรวบรวมสิ่งประดิษฐ์และบันทึกที่เกี่ยวข้องก่อนการแก้ไขจะเปลี่ยนสิ่งที่ยังใช้ได้ และลำดับนั้นสำคัญกว่าเครื่องมือใด ๆ
การรันเอ็กซ์พลอยต์ที่ต้องสงสัยซ้ำบนอุปกรณ์ที่ใช้งานจริงเพื่อปิดช่องว่างไม่คุ้มกับความเสี่ยงที่เพิ่ม การทดสอบที่แสดงว่าการโจมตีอาจทำงานได้ไม่ใช่หลักฐานว่ามันทำงานได้ และความต่างระหว่างสองประโยคนั้นคือวินัยทั้งหมดของการฝึกนี้
จบด้วยสี่รายการ: สิ่งที่สังเกตได้ ความสัมพันธ์ที่บันทึกสนับสนุน สิ่งที่ยังเป็นสมมติฐาน และบันทึกที่ไม่พร้อมใช้ «มีการใช้บัญชี VPN ระหว่างเหตุการณ์» อยู่ในรายการที่สองเมื่อบันทึกสนับสนุน «VPN ทำให้เกิดแรนซัมแวร์» ไม่อยู่ที่ไหนเลยจนกว่าบางสิ่งจะพิสูจน์ความเป็นเหตุเป็นผล