Analyse chronologique et corrélation des artefacts

Les attaquants se déplacent dans les environnements au fil du temps : l'accès initial, la persistance, le déplacement latéral et l'exfiltration peuvent s'étendre sur plusieurs jours ou semaines. L'analyse chronologique met en corrélation les artefacts provenant de différentes sources afin de reconstituer la séquence de l'attaque et de déterminer sa durée de présence.

Principales sources temporelles : les horodatages MAC de NTFS (entrées du MFT), les horodatages du journal des événements Windows, les horodatages d'exécution de Prefetch, les dates de dernière écriture du registre, les horodatages de l'historique des navigateurs et les entrées du journal des modifications $UsnJrnl. Chacune présente une précision et une résistance à la falsification différentes.

NTFS stocke pour chaque fichier les dates de modification du contenu, de dernier accès et de création, ainsi qu'un attribut distinct nommé $STANDARD_INFORMATION contenant des horodatages supplémentaires. Les attaquants peuvent modifier les horodatages MAC (falsification des dates) : comparez les deux ensembles d'attributs pour détecter une manipulation.

Principaux ID d'événement : 4624 (ouverture de session réussie), 4625 (échec d'ouverture de session), 4648 (identifiants explicitement fournis), 4688 (création d'un processus avec sa ligne de commande), 4698 (création d'une tâche planifiée), 7045 (installation d'un nouveau service), 4720 (création d'un compte utilisateur). Filtrez ces événements autour de la fenêtre temporelle de l'incident.

Prefetch enregistre les horodatages d'exécution des applications et les fichiers auxquels elles font référence. Situé dans C:\Windows\Prefetch\, chaque fichier .pf contient les 8 dernières heures d'exécution d'un programme. Les fichiers Prefetch persistent après la suppression de l'application : ils prouvent qu'un programme a été exécuté, même s'il a été supprimé.

log2timeline (plaso) extrait les horodatages de dizaines de types d'artefacts pour créer une super-chronologie unifiée. Utilisez psort.py pour vous concentrer sur des fenêtres temporelles et des types d'artefacts précis. Le fichier CSV obtenu peut être importé dans des outils de chronologie ou des tableurs pour analyse.

Effectuez des recoupements entre : l'ID d'événement 4688 (création d'un processus) et l'exécution enregistrée par Prefetch, la création du fichier XML d'une tâche planifiée dans le registre et l'événement 7045, ainsi que les horodatages des déplacements latéraux dans le journal de sécurité et le trafic SMB dans les captures réseau. La cohérence des horodatages entre les sources renforce la fiabilité des conclusions.

Comparez la chronologie du système à des références. La création d'exécutables dans les répertoires des profils utilisateur, la modification de clés Run du registre à des heures inhabituelles et les connexions sortantes de processus qui ne sont pas des navigateurs sont autant d'anomalies qui ressortent dans une chronologie normale.

Mettez en corrélation les heures de démarrage des processus de Volatility (windows.pslist affiche create_time) avec les entrées 4688 du journal des événements pour confirmer l'exécution des processus, puis avec la chronologie des connexions réseau afin de déterminer quand les communications C2 ont commencé par rapport à la compromission initiale.

Une chronologie formelle de l'incident documente : T+0 (méthode et horodatage de l'accès initial), chaque action ultérieure de l'attaquant avec sa source de preuves, les étapes du déplacement latéral, les données préparées et exfiltrées avec leurs horodatages, ainsi que les horodatages des mesures de confinement. Elle constitue l'ossature du rapport d'incident.

Les attaquants utilisent des outils de falsification des dates pour faire correspondre les horodatages MAC de fichiers malveillants à ceux de fichiers système légitimes et les dissimuler dans une analyse chronologique globale. Pour détecter cette falsification, comparez les horodatages de l'attribut $STANDARD_INFORMATION à ceux de l'attribut $FILE_NAME : ils diffèrent souvent après la modification.

L'analyse chronologique met en corrélation les horodatages de NTFS, des journaux d'événements, de Prefetch, du registre et des captures réseau pour créer un récit chronologique de l'attaque. La création de super-chronologies avec plaso et le recoupement des sources d'artefacts révèlent avec une grande fiabilité la durée de présence de l'attaquant et la séquence de ses actions.