Zeitleistenanalyse und Artefaktkorrelation

Angreifer bewegen sich im Laufe der Zeit durch Umgebungen – Erstzugriff, Persistenz, laterale Bewegung und Datenexfiltration können sich über Tage oder Wochen erstrecken. Die Timeline-Analyse korreliert Artefakte aus verschiedenen Quellen, um die Angriffskette zu rekonstruieren und die Verweildauer zu bestimmen.

Wichtige Zeitquellen: NTFS-MAC-Zeitstempel (MFT-Einträge), Zeitstempel der Windows-Ereignisprotokolle, Ausführungszeitstempel von Prefetch, Zeitpunkte der letzten Änderung in der Registry, Zeitstempel des Browserverlaufs und Einträge des $UsnJrnl-Änderungsjournals. Jede Quelle hat eine unterschiedliche Genauigkeit und Manipulationsresistenz.

NTFS speichert pro Datei die Zeitpunkte für Modified (Inhalt geändert), Accessed (zuletzt gelesen) und Created sowie ein separates $STANDARD_INFORMATION-Attribut mit zusätzlichen Zeitstempeln. Angreifer können MAC-Zeitstempel ändern (Timestomping) – vergleichen Sie beide Attributsätze, um Manipulationen zu erkennen.

Wichtige Ereignis-IDs: 4624 (erfolgreiche Anmeldung), 4625 (fehlgeschlagene Anmeldung), 4648 (explizite Zugangsdaten), 4688 (Prozesserstellung mit Befehlszeile), 4698 (geplante Aufgabe erstellt), 7045 (neuer Dienst installiert), 4720 (Benutzerkonto erstellt). Filtern Sie diese Ereignisse im Zeitraum des Vorfalls.

Windows Prefetch protokolliert Ausführungszeitpunkte von Anwendungen und referenzierte Dateien. Jede .pf-Datei unter C:\Windows\Prefetch\ enthält die letzten acht Ausführungszeitpunkte eines Programms. Prefetch-Dateien bleiben nach dem Löschen einer Anwendung erhalten – und belegen damit, dass ein Programm ausgeführt wurde, selbst wenn es gelöscht wurde.

log2timeline (plaso) extrahiert Zeitstempel aus Dutzenden von Artefakttypen in eine einheitliche Super-Timeline. Filtern Sie mit psort.py nach bestimmten Zeitfenstern und Artefakttypen. Die resultierende CSV-Datei kann zur Analyse in Timeline-Tools oder Tabellenkalkulationen importiert werden.

Stellen Sie folgende Daten gegenüber: Ereignis-ID 4688 (Prozesserstellung) mit der Prefetch-Ausführung, die Erstellung der XML einer geplanten Aufgabe in der Registry mit dem Ereignis 7045 sowie Zeitstempel lateraler Bewegungen im Sicherheitsprotokoll mit SMB-Datenverkehr in Netzwerkaufzeichnungen. Übereinstimmende Zeitstempel aus verschiedenen Quellen erhöhen die Aussagekraft.

Vergleichen Sie die System-Timeline mit Referenzwerten. Das Erstellen ausführbarer Dateien in Benutzerprofilverzeichnissen, Änderungen an Registry-Run-Schlüsseln zu ungewöhnlichen Uhrzeiten und ausgehende Verbindungen von Nicht-Browser-Prozessen treten in einer unauffälligen Timeline deutlich hervor.

Korrelationieren Sie die Startzeitpunkte von Prozessen aus Volatility (windows.pslist zeigt create_time an) mit Ereignissen der ID 4688 im Ereignisprotokoll, um die Prozessausführung zu bestätigen. Vergleichen Sie sie außerdem mit der Timeline der Netzwerkverbindungen, um festzustellen, wann die C2-Kommunikation im Verhältnis zum ersten kompromittierenden Zugriff begann.

Eine formelle Incident-Timeline dokumentiert: T+0 (Methode und Zeitstempel des Erstzugriffs), jede nachfolgende Aktion des Angreifers mit Beweisquelle, Sprünge bei der lateralen Bewegung, bereitgestellte und exfiltrierte Daten mit Zeitstempeln sowie die Zeitstempel der Eindämmungsmaßnahmen. Sie bildet das Rückgrat des Incident-Reports.

Angreifer verwenden Timestomping-Tools, um die MAC-Zeiten schädlicher Dateien an legitime Systemdateien anzupassen und sie in einer umfassenden Timeline-Analyse zu verbergen. Erkennen lässt sich Timestomping durch den Vergleich der Zeitstempel von $STANDARD_INFORMATION mit den Zeitstempeln des $FILE_NAME-Attributs – nach dem Timestomping unterscheiden sie sich häufig.

Welche Windows-Ereignis-ID weist auf die Installation eines neuen Dienstes hin, der häufig zur Persistenz verwendet wird?

Die Timeline-Analyse korreliert Zeitstempel aus NTFS, Ereignisprotokollen, Prefetch, Registry und Netzwerkaufzeichnungen zu einer chronologischen Angriffsdarstellung. Der Aufbau von Super-Timelines mit plaso und die Gegenüberstellung von Artefaktquellen machen die Verweildauer und die Abfolge der Aktionen von Angreifern mit hoher Sicherheit sichtbar.