Netværks- og hukommelsesforensics

Netværksforensics indsamler og analyserer netværkstrafik for at rekonstruere angriberes kommunikation, identificere lateral bevægelse og opdage dataeksfiltration. I modsætning til endpoint-forensics, som undersøger beviser, der kan være blevet manipuleret på en kompromitteret vært, er netværksbeviser sværere for angribere at ændre efterfølgende — de kan ikke retroaktivt slette pakker, der allerede er blevet opfanget af en netværkstap eller et system til flowovervågning. Netværksforensics supplerer endpoint-forensics og giver et komplet billede af angrebet.

Pakkeopsamling (PCAP) registrerer al netværkstrafik på pakkeniveau, herunder hele indholdet i nyttedataene. Værktøjer omfatter Wireshark (GUI-baseret og udbredt), tcpdump (kommandolinjebaseret og egnet til scripts) og Zeek (tidligere Bro, genererer protokolniveau-logge fra PCAP). Fuld pakkeopsamling kræver meget lagerplads; netværk med høj hastighed kan kræve specialbyggede opsamlingsenheder. PCAP-analyse kan afsløre: legitimationsoplysninger i klartekstprotokoller, C2-beaconmønstre, eksfiltrerede data og forbindelser til lateral bevægelse.

NetFlow (og dets open source-ækvivalent IPFIX) registrerer metadata om netværkssamtaler uden at opsamle indholdet i nyttedataene: kilde- og destinations-IP, kilde- og destinationsport, protokol, antal bytes, antal pakker og tidsstempler. NetFlow er langt mere effektivt med hensyn til lagerplads end fuld PCAP og egner sig til langtidsopbevaring (90-365 dage). Under en forensics-undersøgelse kan NetFlow identificere: hvilke systemer der kommunikerede i hændelsesperioden, dataeksfiltration (store udgående datamængder) og C2-beaconing (regelmæssige små forbindelser til eksterne IP-adresser).

DNS-forespørgselslogge er en effektiv kilde til forensics, fordi de fleste C2-kommunikationer og malwaredownloads kræver DNS-opslag. Tegn på skadelig DNS-aktivitet omfatter: forespørgsler til nyligt registrerede domæner eller domæner med lavt omdømme, mange forespørgsler til ét domæne (DGA-malware, der prøver mange genererede navne), DNS-tunneling (usædvanligt lange subdomænenavne eller subdomænenavne med høj entropi, der bruges til at eksfiltrere data) og forespørgsler til domæner, der forbindes med kendte malwarefamilier. DNS logges ofte, selv når inspektionen af HTTP-trafik er begrænset.

Command and Control-kanaler (C2) mellem angriberkontrollerede servere og kompromitterede systemer har karakteristiske mønstre. Beaconing skaber regelmæssige periodiske forbindelser (f.eks. hvert 30. sekund), som kan identificeres i NetFlow som mange små pakker til den samme eksterne IP-adresse med regelmæssige intervaller. Jitter tilføjer randomisering til beacon-intervallerne for at undgå detektion. Analytikere leder efter statistisk regelmæssighed i forbindelsernes timing for at identificere beaconing blandt støjen fra normal webtrafik.

Memory-forensics analyserer RAM-dumps for at udtrække beviser på skadelig aktivitet, som muligvis ikke findes på disken. Volatility Framework (open source) er branchestandarden til memory-analyse. Vigtige funktioner omfatter: visning af kørende processer og deres forældre-barn-relationer, identifikation af injiceret kode i legitime processer, udtrækning af netværksforbindelser, der var åbne på tidspunktet for dataindsamlingen, gendannelse af indhold fra registreringsdatabasehives i hukommelsen og udtrækning af krypteringsnøgler i RAM.

Malware i hukommelsen udviser bestemte mønstre, som Volatility-plugins kan identificere. Procesinjektion (kode, der er injiceret i en legitim proces som svchost.exe) viser sig som hukommelsesområder med udførelsestilladelser i en proces, der normalt ikke ville have dem. Hule processer (legitime processkaller, hvor den oprindelige kode er erstattet af skadelig kode) viser uoverensstemmelser mellem procesnavnet og den faktiske kode i hukommelsen. Kernel-rootkits kan skjule processer fra proceslisten, men Volatility kan opdage dem ved at sammenligne listen over kørende processer med kernens rå liste over processtrukturer.

Memory-forensics er særligt effektiv til gendannelse af legitimationsoplysninger. Windows gemmer legitimationsoplysninger i hukommelsen til LSASS-processen (Local Security Authority Subsystem Service) til brug for Single Sign-On. Værktøjer som Mimikatz udnytter dette ved at læse LSASS-hukommelsen for at udtrække klartekstadgangskoder og NTLM-hashes. I en forensics-undersøgelse kan Volatility udtrække de samme oplysninger fra et memory-dump, der er indsamlet til undersøgelsen — og dermed afsløre, hvilke legitimationsoplysninger der var cachelagret på det kompromitterede system, hvilket hjælper med at fastlægge omfanget af mulig lateral bevægelse.

Den mest effektive forensics-analyse kombinerer netværks- og hukommelsesbeviser. Hukommelsen viser, hvilke processer der kørte, og hvilken kode de indeholdt; netværksforensics viser, hvad disse processer kommunikerede med. En proces, der er synlig i Volatilitys memory-analyse, og som har en netværksforbindelse synlig i PCAP, forbinder til et domæne, der er markeret i DNS-loggene, og svarer til en ekstern IP-adresse i NetFlow — denne samstemmighed giver en sikker tilskrivning af skadelig aktivitet og understøtter en komplet fortælling om angrebet.

Nøjagtige tidsstempler er afgørende for at sammenkæde netværks- og endpoint-forensicsbeviser. Hvis en servers ur er 15 minutter forskudt i forhold til firewallens ur, skaber sammenkædning af hændelser efter tidsstempel falske tidslinjer. Netværksforensicsbeviser er kun så pålidelige som den tidssynkronisering, der bruges af de enheder, som genererer loggene. Organisationer skal konfigurere ensartet NTP (Network Time Protocol) på alle sikkerhedsrelevante enheder og dokumentere kendte tidsafvigelser, der opdages under en undersøgelse.

De fleste moderne C2-kommunikationer bruger TLS-kryptering, hvilket forhindrer analytikere inden for netværksforensics i at læse indholdet i nyttedataene direkte. Selv krypteret trafik afslører dog metadata: mønstre i forbindelsernes timing (beaconing), uregelmæssigheder i certifikater (selvsignerede certifikater fra angribernes infrastruktur og uoverensstemmende CN-felter), JA3-fingeraftryk (TLS-klientfingeraftryk, der kan identificere bestemte malwarefamilier uanset destination) og usædvanlige egenskaber ved TLS-håndtryk. Værktøjer som Zeek udtrækker automatisk JA3-fingeraftryk fra TLS-forbindelser, så kendt malware kan opdages uden at dekryptere trafikken.

I denne lektion har du lært, at pakkeopsamlinger og NetFlow giver supplerende netværksbeviser — PCAP viser det fulde indhold, mens NetFlow viser metadata i stor skala, at C2-beaconing viser sig som regelmæssige periodiske forbindelser, der kan opdages gennem statistisk analyse af forbindelsernes timing, og at Volatility Framework analyserer RAM-dumps for at opdage procesinjektion, udtrække netværksforbindelser og identificere malware, der skjuler sig i legitime processer. Tillykke med at have gennemført forensics-modulerne — næste emne er risikostyring og sikkerhedsrammeværk.