Analisis Linimasa dan Korelasi Artefak

Penyerang bergerak melalui lingkungan dari waktu ke waktu—akses awal, persistensi, pergerakan lateral, dan pengeluaran data dapat berlangsung selama berhari-hari atau berminggu-minggu. Analisis garis waktu mengorelasikan artefak dari berbagai sumber untuk merekonstruksi urutan serangan dan menentukan lama penyerang berada dalam sistem.

Sumber waktu utama: waktu MAC NTFS (entri MFT), cap waktu catatan peristiwa Windows, cap waktu eksekusi Prefetch, waktu penulisan terakhir registri, cap waktu riwayat peramban, dan entri jurnal perubahan $UsnJrnl. Masing-masing memiliki tingkat ketelitian dan ketahanan terhadap manipulasi yang berbeda.

NTFS menyimpan waktu Dimodifikasi (konten berubah), Diakses (terakhir dibaca), dan Dibuat untuk setiap berkas, ditambah atribut $STANDARD_INFORMATION terpisah dengan cap waktu tambahan. Penyerang dapat mengubah waktu MAC (timestomping)—bandingkan kedua kumpulan atribut tersebut untuk mendeteksi manipulasi.

ID Peristiwa utama: 4624 (log masuk berhasil), 4625 (log masuk gagal), 4648 (kredensial eksplisit), 4688 (pembuatan proses dengan baris perintah), 4698 (tugas terjadwal dibuat), 7045 (layanan baru dipasang), 4720 (akun pengguna dibuat). Saring ID tersebut di sekitar rentang waktu insiden.

Prefetch Windows mencatat cap waktu eksekusi aplikasi dan berkas yang dirujuk. Berkas-berkas ini berada di C:\Windows\Prefetch\; setiap berkas .pf berisi 8 waktu eksekusi terakhir suatu program. Berkas Prefetch tetap ada setelah aplikasi dihapus—membuktikan bahwa suatu program pernah dijalankan meskipun sudah dihapus.

log2timeline (plaso) mengekstrak cap waktu dari puluhan jenis artefak ke dalam satu garis waktu superterpadu. Gunakan psort.py untuk memusatkan perhatian pada rentang waktu dan jenis artefak tertentu. CSV yang dihasilkan dapat diimpor ke alat garis waktu atau lembar kerja untuk dianalisis.

Lakukan perbandingan silang antara: ID Peristiwa 4688 (pembuatan proses) dengan eksekusi Prefetch, pembuatan XML tugas terjadwal dalam registri dengan peristiwa 7045, serta cap waktu pergerakan lateral dalam catatan keamanan dengan lalu lintas SMB dalam tangkapan jaringan. Cap waktu yang konsisten di berbagai sumber meningkatkan keyakinan terhadap temuan.

Bandingkan garis waktu sistem dengan garis dasar. Pembuatan berkas yang dapat dieksekusi dalam direktori profil pengguna, perubahan kunci Run registri pada jam yang tidak lazim, serta koneksi keluar dari proses yang bukan peramban—kejanggalan ini tampak jelas dalam garis waktu yang bersih.

Korelasikan waktu mulai proses Volatility (windows.pslist menampilkan create_time) dengan entri ID Peristiwa 4688 untuk mengonfirmasi eksekusi proses, lalu dengan garis waktu koneksi jaringan untuk mengidentifikasi kapan komunikasi komando dan kendali dimulai dibandingkan dengan waktu penyusupan awal.

Garis waktu insiden formal mendokumentasikan: T+0 (metode dan cap waktu akses awal), setiap tindakan penyerang berikutnya beserta sumber buktinya, lompatan pergerakan lateral, data yang disiapkan dan dikeluarkan beserta cap waktunya, serta cap waktu tindakan penahanan. Dokumen ini menjadi tulang punggung laporan insiden.

Penyerang menggunakan alat timestomping untuk menetapkan waktu MAC berkas berbahaya agar sesuai dengan berkas sistem yang sah, sehingga berkas tersebut tersembunyi dalam analisis garis waktu massal. Deteksi timestomping: bandingkan cap waktu $STANDARD_INFORMATION dengan cap waktu atribut $FILE_NAME—keduanya sering berbeda setelah manipulasi.

ID Peristiwa Windows berapa yang menunjukkan bahwa layanan baru dipasang dan sering digunakan untuk persistensi?

Analisis garis waktu mengorelasikan cap waktu dari NTFS, catatan peristiwa, Prefetch, registri, dan tangkapan jaringan menjadi narasi serangan kronologis. Penggunaan plaso untuk membangun garis waktu superterpadu serta perbandingan silang sumber artefak mengungkap lama penyerang berada dalam sistem dan urutan tindakan dengan tingkat keyakinan tinggi.