Análisis de líneas temporales y correlación de artefactos

Los atacantes se desplazan por los entornos con el tiempo: el acceso inicial, la persistencia, el movimiento lateral y la exfiltración pueden abarcar días o semanas. El análisis de la línea temporal correlaciona artefactos de distintas fuentes para reconstruir la secuencia del ataque y determinar el tiempo de permanencia.

Fuentes de tiempo clave: tiempos MAC de NTFS (entradas del MFT), marcas de tiempo del registro de eventos de Windows, marcas de tiempo de ejecución de Prefetch, tiempos de última escritura del Registro, marcas de tiempo del historial del navegador y entradas del diario de cambios $UsnJrnl. Cada una tiene una precisión y una resistencia a la manipulación diferentes.

NTFS almacena por archivo los tiempos Modified (contenido cambiado), Accessed (última lectura) y Created (creación), además de un atributo independiente $STANDARD_INFORMATION con marcas de tiempo adicionales. Los atacantes pueden modificar los tiempos MAC (timestomping); compare ambos conjuntos de atributos para detectar manipulaciones.

Identificadores de evento clave: 4624 (inicio de sesión correcto), 4625 (inicio de sesión fallido), 4648 (credenciales explícitas), 4688 (creación de procesos con línea de comandos), 4698 (tarea programada creada), 7045 (nuevo servicio instalado), 4720 (cuenta de usuario creada). Filtre estos eventos en torno al intervalo del incidente.

Windows Prefetch registra las marcas de tiempo de ejecución de las aplicaciones y los archivos a los que estas hacen referencia. Cada archivo .pf, ubicado en C:\Windows\Prefetch\, contiene las 8 últimas marcas de tiempo de ejecución de un programa. Los archivos Prefetch persisten después de eliminar la aplicación, lo que demuestra que un programa se ejecutó aunque posteriormente se haya eliminado.

log2timeline (plaso) extrae marcas de tiempo de docenas de tipos de artefactos y las reúne en una superlínea temporal unificada. Utilice psort.py para filtrar y centrarse en intervalos de tiempo y tipos de artefactos específicos. El CSV resultante puede importarse en herramientas de líneas temporales o hojas de cálculo para su análisis.

Realice referencias cruzadas entre el identificador de evento 4688 (creación de procesos) y la ejecución registrada en Prefetch; entre la creación del XML de una tarea programada en el Registro y el evento 7045; y entre las marcas de tiempo del movimiento lateral en el registro de seguridad y el tráfico SMB en las capturas de red. La coherencia de las marcas de tiempo entre las fuentes aumenta la confianza en los hallazgos.

Compare la línea temporal del sistema con las líneas base. La creación de ejecutables en directorios de perfiles de usuario, las modificaciones de claves Run del Registro en horarios inusuales y las conexiones salientes desde procesos que no son navegadores destacan en una línea temporal limpia.

Correlacione las horas de inicio de los procesos obtenidas con Volatility (windows.pslist muestra create_time) con las entradas 4688 del registro de eventos para confirmar la ejecución de los procesos y con la línea temporal de conexiones de red para identificar cuándo comenzó la comunicación C2 en relación con el compromiso inicial.

Una línea temporal formal del incidente documenta: T+0 (método y marca de tiempo del acceso inicial), cada acción posterior del atacante junto con su fuente de evidencia, los saltos del movimiento lateral, los datos preparados y exfiltrados con sus marcas de tiempo y las marcas de tiempo de las acciones de contención. Esto se convierte en la estructura principal del informe del incidente.

Los atacantes utilizan herramientas de timestomping para establecer los tiempos MAC de archivos maliciosos de modo que coincidan con los de archivos legítimos del sistema, ocultándolos en el análisis masivo de la línea temporal. Para detectar timestomping, compare las marcas de tiempo del atributo $STANDARD_INFORMATION con las del atributo $FILE_NAME; a menudo difieren después de la manipulación.

¿Qué identificador de evento de Windows indica que se instaló un nuevo servicio, algo que se utiliza a menudo para establecer persistencia?

El análisis de líneas temporales correlaciona marcas de tiempo de NTFS, registros de eventos, Prefetch, el Registro y capturas de red para crear una narración cronológica del ataque. El uso de plaso para crear superlíneas temporales y la comparación cruzada de fuentes de artefactos revela con gran confianza el tiempo de permanencia del atacante y la secuencia de sus acciones.