VPN girişi ve ardından fidye yazılımı: kanıtlar neyi destekliyor
02:14’te bir giriş ve 03:02’de şifrelenmiş dosyalar araştırmaya değer bir sıradır, bir giriş noktası değil. Kimlik doğrulama, oturum ve ana makine kanıtlarını ayrı tutun.
Aşağıdakilerin tümü, gerçek bir vakayı betimlemek değil, bir biçim göstermek için bir araya getirilmiş varsayımsal bir kaydı kullanır. Bir zincir gibi okunur: 02:14’te ağ geçidi kimlik doğrulaması, 02:19’da masaüstü oturumu, 02:41’de ayrıcalıklı hesap değişikliği ve 03:02’de bulunan şifrelenmiş dosyalar. İlk satır yanıt gibi görünür ve rapor çoğu zaman öyleymiş gibi yazılır. Bir giriş, ağ geçidinin kaydettiği bir olaydır; birinin içeri nasıl girdiğine dair bir bulgu değildir ve bu fark, bundan sonra ne yapacağınızı belirler.
Belirti: yanıt gibi görünen bir giriş
Kimlik doğrulama kayıtları elde edilmesi en kolay ve fazla yorumlanması en kolay kanıtlardır. Hizmetin belirli bir zamanda, belirli bir adresten, belirli bir hesap için bir kimlik bilgisi kabul ettiğini gösterirler. Kimlik bilgisini kimin denetlediğini, ağ geçidinin kötüye kullanılıp kullanılmadığını veya hesap sahibinin cihazının zaten ele geçirilmiş olup olmadığını göstermezler.
Aynı giriş satırına üç açıklama uyar. Birisi çalınmış bir parola kullanmıştır ve ağ geçidi tam olarak bunun için inşa edildiği işi yapmıştır. Daha önce ele geçirilmiş bir dizüstü bilgisayar her zamanki gibi giriş yapmıştır. İlgisiz, açıkta kalmış bir hizmet gerçek girişi sağlamıştır ve VPN oturumu aynı aktörün daha sonraki, ayrı bir eylemidir.
Her açıklama ortamın başka bir yerinde farklı kanıt öngörür; bu yüzden soruşturma ilk uyan açıklamanın doğrulanmasını değil, bu öngörüleri aramalıdır. Çalınmış parola olağandışı bir kimlik doğrulama coğrafyası veya zamanı öngörür. Ele geçirilmiş dizüstü bilgisayar girişten önce ana makine izlerini öngörür. İlgisiz giriş noktası ağ geçidiyle hiç ilgisi olmayan etkinlik öngörür.
Olayları anlatmadan önce ayrı tutun
Herhangi bir anlatı oluşmadan önce olayları ayrı ayrı yazın, çünkü anlatı zaman çizelgesini bir şüphelinin etrafında düzenlemeye davet eder. Her satır, o kaydın neyi kanıtladığını ve ayrı olarak tek başına neyi kanıtlayamayacağını söylemelidir. İki satır tek bir cümlede birleştiği anda bir yorum çoktan kazanmıştır.
Son olayın saldırganla değil tespitle ilgili olduğuna dikkat edin. Keşif zamanı ile ihlal zamanı genellikle saatler veya haftalarca ayrıdır ve bunları eşitleyen bir rapor sizden sonra gelen her okuru yanıltacaktır.
Her zaman damgasının nereden geldiğini kaydedin, yalnızca ne söylediğini değil. Bir toplayıcının alma zamanı, bir olay zamanı ve bir tespit zamanı üç farklı sayıdır ve bunları sessizce tek bir sütuna normalleştirmek, bir zaman çizelgesinin kanıtların hiç sahip olmadığı bir biçimi kazanma yoludur.
Kayıtları yalnızca tanımlayıcıların örtüştüğü yerde birleştirin
Kayıtları birleştirmek bir hipotezdir, biçimlendirme adımı değildir. Hesap adı, atanan VPN adresi, hedef ana makine ve oturum tanımlayıcısı, iki satır tek bir hikâye olmadan önce örtüşmelidir. Paylaşılan genel bir adres yeterli değildir, çünkü tasarımı gereği paylaşılır.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Bir girişi izlerken tabloyu aşağıdan yukarıya, etkinin kapsamını belirlerken yukarıdan aşağıya okuyun, çünkü iki soru zıt yönler gerektirir. Tanımlayıcıların gerçekten örtüştüğü yerde bunu söyleyin ve her iki kaydı da anın. Örtüşmediği yerde boşluğu bir varsayımla kapatmak yerine görünür bırakın.
Burada tanıdık bir kullanıcı adı da yanıltır. Aynı hesabı sabah meşru sahibi, gece başka biri kullanabilir ve yalnızca hesap adı onları ayırt edemez. Hesabı atfedin, sonra kişiyi ayrı olarak atfedin ve yalnızca bir şey bunu desteklediğinde. İncelemede dağılan zaman çizelgelerinin çoğu tam da bu adımı fazla hızlı attı.
Eksik günlükler bir boşluktur, olumsuz kanıt değil
Başarısız parola olaylarının bulunmaması, başarılı girişin meşru olduğunu kanıtlamaz. Geçerli çalınmış kimlik bilgileri başarılı bir kimlik doğrulama kaydı üretir ve hiç başarısızlık üretmez; kimlik bilgisi hırsızlığını çekici kılan da tam olarak budur.
Benzer şekilde, bugün kapalı bir bağlantı noktası bugün hakkında bir şey söyler. O hizmetin o zaman açıkta olup olmadığı, o zaman savunmasız olup olmadığı veya saldırıyı taşıyıp taşımadığı hakkında hiçbir şey söylemez. Geçmiş yapılandırma ve hizmet kanıtı, o boşluğu kapatmanın tek yoludur.
Boşluğu raporda açıkça belirtin. «O aralık için kaydımız yok» savunulabilir bir cümledir; «başka bir şey olmadı» değildir ve size karşı alıntılanacaktır. Boşlukların sahipleri de vardır: kaydı üretmesi gereken sistemi ve neden üretmediğini adlandırın. O satır bir ihmalı düzeltme maddesine dönüştürür.
Bulguları kanıtların desteklediği düzeyde yazın
Koruma, sınırlama ve kurtarmayı olay sahibi üzerinden koordine edin, onu atlayarak değil. CISA’nın teknik rehberi, düzeltme erişilebilir olanı değiştirmeden önce ilgili artefaktların ve günlüklerin toplanmasını vurgular ve bu sıra herhangi bir tek araçtan daha önemlidir.
Boşluğu kapatmak için canlı ekipman üzerinde şüpheli bir istismarı yeniden çalıştırmak eklediği riske değmez. Bir saldırının işleyebileceğini gösteren bir test, işlediğinin kanıtı değildir ve bu iki ifade arasındaki fark bu alıştırmanın tüm disiplinidir.
Dört listeyle bitirin: ne gözlemlendi, kayıtların hangi ilişkileri desteklediği, neyin hipotez olarak kaldığı ve hangi kayıtların bulunmadığı. «Olay sırasında bir VPN hesabı kullanıldı» kayıtlar bunu desteklediğinde ikinci listeye girer. «VPN fidye yazılımına neden oldu» bir şey nedenselliği ortaya koyana kadar hiçbir yere girmez.