Đăng nhập VPN rồi ransomware: bằng chứng ủng hộ điều gì

Mọi thứ dưới đây dùng một bản ghi giả định, được lắp ghép để cho thấy một hình dạng chứ không phải để mô tả một vụ việc thật. Nó đọc như một chuỗi: xác thực tại cổng lúc 02:14, phiên máy tính để bàn lúc 02:19, thay đổi tài khoản đặc quyền lúc 02:41 và các tệp bị mã hóa được tìm thấy lúc 03:02. Dòng đầu trông như câu trả lời, và báo cáo thường được viết như thể nó là câu trả lời. Đăng nhập là một sự kiện mà cổng đã ghi lại, không phải kết luận về cách ai đó vào được, và khác biệt đó quyết định việc bạn làm tiếp theo.

Triệu chứng: một lần đăng nhập trông như câu trả lời

Nhật ký xác thực là bằng chứng dễ lấy nhất và cũng dễ bị diễn giải quá mức nhất. Chúng cho thấy dịch vụ đã chấp nhận một thông tin xác thực vào một thời điểm, từ một địa chỉ, cho một tài khoản. Chúng không cho thấy ai kiểm soát thông tin xác thực đó, cổng có bị khai thác hay không, hoặc thiết bị của chủ tài khoản đã bị xâm nhập từ trước hay chưa.

Ba cách giải thích cùng khớp với một dòng đăng nhập. Ai đó dùng mật khẩu bị đánh cắp, và cổng đã làm đúng việc nó được xây để làm. Một máy tính xách tay đã bị xâm nhập trước đó chỉ đơn giản đăng nhập như thường lệ. Một dịch vụ lộ diện không liên quan đã cung cấp lối vào thật, và phiên VPN là một hành động sau đó, tách biệt của cùng một chủ thể.

Mỗi cách giải thích dự đoán bằng chứng khác nhau ở nơi khác trong môi trường, vì vậy cuộc điều tra phải tìm những dự đoán đó chứ không phải xác nhận cách giải thích đầu tiên khớp. Mật khẩu bị đánh cắp dự đoán địa lý hoặc thời điểm xác thực bất thường. Máy tính xách tay bị xâm nhập dự đoán dấu vết máy chủ trước khi đăng nhập. Điểm xâm nhập không liên quan dự đoán hoạt động không hề liên quan đến cổng.

Tách các sự kiện trước khi kể lại

Viết các sự kiện riêng rẽ trước khi có bất kỳ câu chuyện nào, vì một câu chuyện mời gọi sắp xếp dòng thời gian quanh một nghi phạm. Mỗi dòng phải nói bản ghi đó xác lập điều gì và, riêng ra, điều gì nó không thể tự xác lập. Ngay khoảnh khắc hai dòng hợp thành một câu, một cách diễn giải đã thắng.

Hãy để ý rằng sự kiện cuối cùng nói về việc phát hiện chứ không phải kẻ tấn công. Thời điểm phát hiện và thời điểm bị xâm nhập thường cách nhau hàng giờ hoặc hàng tuần, và một báo cáo đánh đồng hai mốc đó sẽ đánh lừa mọi độc giả đến sau bạn.

Ghi lại mỗi dấu thời gian đến từ đâu, không chỉ nó nói gì. Thời điểm bộ thu nhận nhận được, thời điểm sự kiện và thời điểm phát hiện là ba con số khác nhau, và việc âm thầm chuẩn hóa chúng vào một cột là cách một dòng thời gian có được hình dạng mà bằng chứng chưa bao giờ có.

Chỉ nối các bản ghi nơi các định danh khớp nhau

Gộp bản ghi là một giả thuyết, không phải một bước định dạng. Tên tài khoản, địa chỉ VPN được cấp, máy chủ đích và định danh phiên phải khớp trước khi hai dòng trở thành một câu chuyện. Một địa chỉ công cộng dùng chung là không đủ, vì nó dùng chung theo thiết kế.

Đọc bảng từ dưới lên khi truy vết một lối vào, và từ trên xuống khi xác định phạm vi ảnh hưởng, vì hai câu hỏi cần hai hướng ngược nhau. Nơi các định danh thực sự khớp, hãy nói ra và trích dẫn cả hai bản ghi. Nơi chúng không khớp, hãy để khoảng trống hiện rõ thay vì lấp bằng một giả định.

Đây cũng là nơi một tên người dùng quen thuộc đánh lừa. Cùng một tài khoản có thể được chủ sở hữu hợp pháp dùng vào buổi sáng và người khác dùng vào ban đêm, và chỉ tên tài khoản thì không thể phân biệt họ. Hãy quy cho tài khoản, rồi quy cho con người một cách riêng rẽ, và chỉ khi có điều gì đó ủng hộ. Hầu hết các dòng thời gian sụp đổ khi bị rà soát đã làm đúng bước này quá nhanh.

Nhật ký thiếu là một khoảng trống, không phải bằng chứng phủ định

Việc không có các sự kiện mật khẩu thất bại không chứng minh lần đăng nhập thành công là hợp pháp. Thông tin xác thực bị đánh cắp còn hiệu lực tạo ra một bản ghi xác thực thành công và không có thất bại nào, và chính điều đó khiến đánh cắp thông tin xác thực trở nên hấp dẫn.

Tương tự, một cổng đóng hôm nay nói điều gì đó về hôm nay. Nó không nói gì về việc dịch vụ đó có lộ diện khi ấy không, có yếu khi ấy không, hay có mang cuộc tấn công không. Cấu hình lịch sử và bằng chứng dịch vụ là cách duy nhất để lấp khoảng trống đó.

Nêu rõ khoảng trống trong báo cáo. «Chúng tôi không có bản ghi cho khoảng thời gian đó» là một câu có thể bảo vệ được; «không có gì khác xảy ra» thì không, và nó sẽ bị trích lại trước mặt bạn. Khoảng trống cũng có chủ: hãy nêu tên hệ thống lẽ ra phải tạo ra bản ghi và lý do nó không làm vậy. Dòng đó biến một thiếu sót thành một hạng mục khắc phục.

Viết kết luận ở mức mà bằng chứng ủng hộ

Điều phối việc bảo toàn, ngăn chặn và khôi phục qua người sở hữu sự cố thay vì đi vòng qua họ. Hướng dẫn kỹ thuật của CISA nhấn mạnh việc thu thập hiện vật và nhật ký liên quan trước khi việc khắc phục thay đổi những gì còn khả dụng, và thứ tự đó quan trọng hơn bất kỳ công cụ đơn lẻ nào.

Chạy lại một khai thác bị nghi ngờ trên thiết bị đang vận hành để lấp khoảng trống không đáng với rủi ro thêm vào. Một thử nghiệm cho thấy một cuộc tấn công có thể hoạt động không phải bằng chứng rằng nó đã hoạt động, và khác biệt giữa hai phát biểu đó chính là toàn bộ kỷ luật của bài tập này.

Kết thúc bằng bốn danh sách: những gì đã quan sát, những quan hệ mà bản ghi ủng hộ, những gì còn là giả thuyết và những bản ghi nào không có sẵn. «Một tài khoản VPN đã được dùng trong sự cố» thuộc danh sách thứ hai khi các bản ghi ủng hộ điều đó. «VPN gây ra ransomware» không thuộc về đâu cả cho đến khi có điều gì đó xác lập quan hệ nhân quả.