Pag-login sa VPN at pagkatapos ay ransomware: ano ang sinusuportahan ng ebidensya
Ang pag-login sa 02:14 at mga naka-encrypt na file sa 03:02 ay isang pagkakasunod-sunod na dapat imbestigahan, hindi isang pasukan. Paghiwalayin ang ebidensya ng pagpapatotoo, sesyon at host.
Lahat ng nasa ibaba ay gumagamit ng isang hipotetikal na rekord, na binuo upang magpakita ng hugis at hindi upang ilarawan ang isang tunay na kaso. Binabasa ito na parang tanikala: isang pagpapatotoo sa gateway sa 02:14, isang sesyon sa desktop sa 02:19, isang pagbabago sa pribilehiyadong account sa 02:41, at mga naka-encrypt na file na natagpuan sa 03:02. Ang unang linya ay mukhang sagot, at ang ulat ay madalas isulat na parang iyon nga. Ang pag-login ay isang pangyayaring naitala ng isang gateway, hindi isang konklusyon tungkol sa kung paano pumasok ang isang tao, at ang pagkakaibang iyon ang nagpapasya kung ano ang gagawin mo sa susunod.
Ang sintomas: isang pag-login na mukhang sagot
Ang mga talaan ng pagpapatotoo ang pinakamadaling ebidensyang makuha at pinakamadaling labis na bigyang-kahulugan. Ipinapakita nito na tinanggap ng serbisyo ang isang kredensyal sa isang oras, mula sa isang address, para sa isang account. Hindi nito ipinapakita kung sino ang kumokontrol sa kredensyal, kung ginamit nang mali ang gateway, o kung ang aparato ng may-ari ng account ay nakompromiso na.
Tatlong paliwanag ang umaangkop sa parehong linya ng pag-login. May gumamit ng ninakaw na password, at ginawa ng gateway ang eksaktong itinayo para gawin nito. Ang laptop na nakompromiso na noon ay pumasok na gaya ng dati. Isang walang kaugnayang nakalantad na serbisyo ang nagbigay ng tunay na pasukan, at ang sesyon ng VPN ay isang huling, hiwalay na aksyon ng parehong aktor.
Bawat paliwanag ay naghuhula ng iba’t ibang ebidensya sa ibang bahagi ng kapaligiran, kaya dapat hanapin ng imbestigasyon ang mga hulang iyon at hindi ang kumpirmasyon ng unang umaangkop. Ang ninakaw na password ay naghuhula ng kakaibang heograpiya o oras ng pagpapatotoo. Ang nakompromisong laptop ay naghuhula ng mga artefakto ng host bago ang pag-login. Ang walang kaugnayang pasukan ay naghuhula ng aktibidad na wala talagang kinalaman sa gateway.
Paghiwalayin ang mga pangyayari bago mo ito ikuwento
Isulat nang hiwalay ang mga pangyayari bago pa may anumang salaysay, dahil inaanyayahan ng salaysay na ayusin ang guhit ng oras sa paligid ng isang suspek. Dapat sabihin ng bawat linya kung ano ang pinatutunayan ng talaang iyon at, nang hiwalay, kung ano ang hindi nito mapatutunayan nang mag-isa. Sa sandaling pagsamahin ang dalawang linya sa isang pangungusap, nanalo na ang isang interpretasyon.
Pansinin na ang huling pangyayari ay tungkol sa pagtuklas at hindi sa umaatake. Ang oras ng pagkatuklas at ang oras ng pagkasira ay karaniwang pagitan ng ilang oras o linggo, at ang ulat na nagpapantay sa kanila ay magliligaw sa bawat mambabasang susunod sa iyo.
Itala kung saan nagmula ang bawat tatak ng oras, hindi lamang kung ano ang sinasabi nito. Ang oras ng pagtanggap ng kolektor, ang oras ng pangyayari at ang oras ng pagtuklas ay tatlong magkakaibang bilang, at ang tahimik na pag-normalisa ng mga ito sa isang hanay ang paraan kung paano nagkakaroon ng hugis ang isang guhit ng oras na hindi kailanman naging taglay ng ebidensya.
Pagsamahin lamang ang mga talaan kung saan tugma ang mga tagatukoy
Ang pagsasama ng mga talaan ay isang hinuha, hindi isang hakbang sa pag-format. Dapat magtugma ang pangalan ng account, ang itinalagang address ng VPN, ang target na host at ang tagatukoy ng sesyon bago maging isang kuwento ang dalawang hilera. Hindi sapat ang pinagsasaluhang pampublikong address, dahil pinagsasaluhan ito ayon sa disenyo.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Basahin ang talahanayan mula ibaba pataas kapag sinusundan mo ang pasukan, at mula itaas pababa kapag tinutukoy mo ang saklaw ng epekto, dahil magkasalungat na direksyon ang kailangan ng dalawang tanong. Kung saan talagang tugma ang mga tagatukoy, sabihin ito at banggitin ang dalawang talaan. Kung saan hindi tugma, hayaang makita ang puwang sa halip na sarhan ito ng palagay.
Dito rin nagliligaw ang isang pamilyar na username. Ang parehong account ay maaaring gamitin ng lehitimong may-ari sa umaga at ng ibang tao sa gabi, at ang pangalan ng account lamang ay hindi sila makikilala. Ibigay ang account, pagkatapos ay hiwalay na ibigay ang tao, at kapag may sumusuporta lamang. Karamihan sa mga guhit ng oras na gumuguho sa pagsusuri ay ginawa ang hakbang na ito nang masyadong mabilis.
Ang nawawalang log ay puwang, hindi negatibong ebidensya
Ang kawalan ng mga pangyayari ng bigong password ay hindi nagpapatunay na ang matagumpay na pag-login ay lehitimo. Ang mga valid na ninakaw na kredensyal ay gumagawa ng matagumpay na talaan ng pagpapatotoo at walang bigong lahat, at iyon ang dahilan kung bakit kaakit-akit ang pagnanakaw ng kredensyal.
Gayundin, ang port na sarado ngayon ay may sinasabi tungkol sa ngayon. Wala itong sinasabi tungkol sa kung ang serbisyong iyon ay nakalantad noon, kung mahina ito noon, o kung dinala nito ang pag-atake. Ang makasaysayang pagsasaayos at ebidensya ng serbisyo ang tanging paraan upang sarhan ang puwang na iyon.
Sabihin nang tahasan ang puwang sa ulat. «Wala kaming talaan para sa agwat na iyon» ay isang mapagtatanggol na pangungusap; «wala nang ibang nangyari» ay hindi, at ito ay babanggitin pabalik sa iyo. May mga may-ari din ang mga puwang: pangalanan ang sistemang dapat nagprodyus ng talaan at bakit hindi ito ginawa. Ang linyang iyon ay ginagawang aytem ng pagwawasto ang isang pagpapaliban.
Isulat ang mga natuklasan sa antas na sinusuportahan ng ebidensya
Ugnayin ang pag-iingat, pagpigil at pagbawi sa pamamagitan ng may-ari ng insidente at hindi sa paligid niya. Binibigyang-diin ng teknikal na patnubay ng CISA ang pagkolekta ng mga kaugnay na artefakto at log bago baguhin ng pagwawasto ang natitirang magagamit, at mas mahalaga ang pagkakasunod-sunod na iyon kaysa sa alinmang solong kasangkapan.
Ang muling pagpapatakbo ng pinaghihinalaang exploit laban sa live na kagamitan upang sarhan ang puwang ay hindi katumbas ng idinadagdag na panganib. Ang pagsusulit na nagpapakita na maaaring gumana ang isang pag-atake ay hindi ebidensya na gumana ito, at ang pagkakaiba ng dalawang pahayag na iyon ang buong disiplina ng pagsasanay.
Tapusin sa apat na listahan: ano ang naobserbahan, anong mga relasyon ang sinusuportahan ng mga talaan, ano ang nananatiling hinuha at aling mga talaan ang hindi available. Ang «Ginamit ang isang account ng VPN sa panahon ng insidente» ay nabibilang sa ikalawang listahan kapag sinusuportahan ito ng mga talaan. Ang «Ang VPN ang naging sanhi ng ransomware» ay hindi nabibilang kahit saan hanggang may magtatag ng sanhi at bunga.