Analisi della timeline e correlazione degli artefatti

Gli attaccanti si spostano negli ambienti nel corso del tempo: accesso iniziale, persistenza, movimento laterale ed esfiltrazione possono estendersi per giorni o settimane. L'analisi della timeline correla gli artefatti provenienti da diverse fonti per ricostruire la sequenza dell'attacco e determinare il tempo di permanenza.

Principali fonti temporali: tempi MAC di NTFS (voci MFT), timestamp dei Windows Event Log, timestamp di esecuzione di Prefetch, tempi dell'ultima scrittura del registro, timestamp della cronologia del browser e voci del journal delle modifiche $UsnJrnl. Ognuna presenta precisione e resistenza alle manomissioni diverse.

NTFS memorizza per ogni file i tempi di modifica (contenuto cambiato), accesso (ultima lettura) e creazione, oltre a un attributo $STANDARD_INFORMATION separato con timestamp aggiuntivi. Gli attaccanti possono modificare i tempi MAC (timestomping): confronti entrambi i set di attributi per rilevare la manipolazione.

Event ID principali: 4624 (accesso riuscito), 4625 (accesso non riuscito), 4648 (credenziali esplicite), 4688 (creazione di un processo con riga di comando), 4698 (creazione di un'attività pianificata), 7045 (installazione di un nuovo servizio), 4720 (creazione di un account utente). Filtri questi eventi nell'intervallo temporale dell'incidente.

Windows Prefetch registra i timestamp di esecuzione delle applicazioni e i file a cui fanno riferimento. Ogni file .pf, che si trova in C:\Windows\Prefetch\, contiene gli ultimi 8 tempi di esecuzione di un programma. I file Prefetch persistono dopo l'eliminazione dell'applicazione e dimostrano che un programma è stato eseguito anche se è stato eliminato.

log2timeline (plaso) estrae i timestamp da decine di tipi di artefatti e li riunisce in una super-timeline unificata. Utilizzi psort.py per concentrarsi su intervalli temporali e tipi di artefatto specifici. Il CSV risultante può essere importato negli strumenti per timeline o nei fogli di calcolo per l'analisi.

Correlazioni incrociate: Event ID 4688 (creazione del processo) con l'esecuzione registrata da Prefetch, creazione dell'XML di un'attività pianificata nel registro con l'evento 7045, timestamp del movimento laterale nel registro di sicurezza con il traffico SMB nelle catture di rete. Timestamp coerenti tra le diverse fonti aumentano il livello di affidabilità.

Confronti la timeline del sistema con le baseline. La creazione di eseguibili nelle directory dei profili utente, le modifiche alle chiavi Run del registro in orari insoliti e le connessioni in uscita da processi diversi dai browser sono anomalie che risaltano in una timeline pulita.

Correli i tempi di avvio dei processi rilevati da Volatility (windows.pslist mostra create_time) con le voci Event Log 4688 per confermare l'esecuzione dei processi e con la timeline delle connessioni di rete per identificare quando è iniziata la comunicazione C2 rispetto alla compromissione iniziale.

Una timeline formale dell'incidente documenta: T+0 (metodo e timestamp dell'accesso iniziale), ogni azione successiva dell'attaccante con la relativa fonte di prova, i passaggi del movimento laterale, i dati preparati ed esfiltrati con i timestamp e i timestamp delle azioni di contenimento. Diventa l'ossatura del report dell'incidente.

Gli attaccanti utilizzano strumenti di timestomping per impostare i tempi MAC dei file dannosi in modo che corrispondano a quelli dei file di sistema legittimi, nascondendoli nell'analisi massiva della timeline. Per rilevare il timestomping, confronti i timestamp di $STANDARD_INFORMATION con quelli dell'attributo $FILE_NAME: spesso differiscono dopo la manipolazione.

Quale Windows Event ID indica che è stato installato un nuovo servizio, spesso utilizzato per la persistenza?

L'analisi della timeline correla i timestamp provenienti da NTFS, Event Log, Prefetch, registro e catture di rete in una narrazione cronologica dell'attacco. L'utilizzo di plaso per creare super-timeline e il confronto incrociato delle fonti degli artefatti rivelano con elevata affidabilità il tempo di permanenza dell'attaccante e la sequenza delle sue azioni.