타임라인 분석 및 아티팩트 상관관계 분석

공격자는 시간에 따라 환경 내부를 이동합니다. 초기 접근, 지속성 확보, 측면 이동, 정보 유출에는 며칠 또는 몇 주가 걸릴 수 있습니다. 타임라인 분석은 여러 출처의 흔적을 연관시켜 공격 순서를 재구성하고 잠복 시간을 파악합니다.

주요 시간 출처는 NTFS MAC 시간(MFT 항목), Windows 이벤트 로그의 타임스탬프, 프리페치 실행 타임스탬프, 레지스트리의 마지막 쓰기 시간, 브라우저 방문 기록의 타임스탬프, $UsnJrnl 변경 저널 항목입니다. 각 출처는 정밀도와 변조 저항성이 서로 다릅니다.

NTFS는 파일별로 수정된 시간(콘텐츠가 변경된 시점), 액세스한 시간(마지막으로 읽은 시점), 생성된 시간을 저장하며, 추가 타임스탬프가 포함된 별도의 표준 정보 특성도 저장합니다. 공격자는 MAC 시간을 변경할 수 있으므로(타임스톰핑) 두 특성 집합을 비교하여 조작을 탐지하십시오.

주요 이벤트 ID는 4624(성공한 로그온), 4625(실패한 로그온), 4648(명시적 자격 증명 사용), 4688(명령줄이 포함된 프로세스 생성), 4698(예약된 작업 생성), 7045(새 서비스 설치), 4720(사용자 계정 생성)입니다. 사고가 발생한 시간 범위를 기준으로 이러한 항목을 필터링하십시오.

Windows 프리페치는 애플리케이션 실행 타임스탬프와 참조된 파일을 기록합니다. C:\Windows\Prefetch\에 있으며, 각 .pf 파일에는 프로그램의 최근 실행 시간 8개가 포함됩니다. 프리페치 파일은 애플리케이션을 삭제한 뒤에도 남아 있으므로, 삭제된 프로그램이 실행되었다는 사실을 입증할 수 있습니다.

log2timeline(plaso)은 수십 가지 흔적 유형에서 타임스탬프를 추출하여 통합 슈퍼 타임라인으로 만듭니다. psort.py로 필터링하여 특정 시간 범위와 흔적 유형에 집중하십시오. 결과 CSV는 분석을 위해 타임라인 도구나 스프레드시트로 가져올 수 있습니다.

다음 항목을 교차 참조하십시오. 이벤트 ID 4688(프로세스 생성)과 프리페치 실행 기록, 레지스트리의 예약된 작업 XML 생성 기록과 7045 이벤트, 보안 로그의 측면 이동 타임스탬프와 네트워크 캡처의 SMB 트래픽을 비교합니다. 여러 출처에서 타임스탬프가 일치하면 분석의 신뢰도가 높아집니다.

시스템 타임라인을 기준선과 비교하십시오. 사용자 프로필 디렉터리에 실행 파일이 생성되거나, 비정상적인 시간에 레지스트리 Run 키가 수정되거나, 브라우저가 아닌 프로세스에서 외부로 연결되는 현상은 정상적인 타임라인에서 두드러지는 이상 징후입니다.

Volatility의 프로세스 시작 시간(windows.pslist가 create_time을 표시함)을 이벤트 로그 4688 항목과 연관시켜 프로세스 실행을 확인하십시오. 또한 네트워크 연결 타임라인과 연관시켜 최초 침해 이후 언제 명령 및 제어 통신이 시작되었는지 파악하십시오.

공식 사고 타임라인에는 T+0(초기 접근 방법과 타임스탬프), 이후 각 공격자 활동과 그 증거 출처, 측면 이동 경로, 타임스탬프가 포함된 데이터 준비 및 유출 기록, 격리 조치 타임스탬프를 기록합니다. 이 문서는 사고 보고서의 뼈대가 됩니다.

공격자는 악성 파일의 MAC 시간을 정상적인 시스템 파일과 일치하도록 설정하는 타임스톰핑 도구를 사용하여 대규모 타임라인 분석에서 파일을 숨깁니다. 타임스톰핑을 탐지하려면 표준 정보 특성의 타임스탬프와 파일 이름 특성의 타임스탬프를 비교하십시오. 타임스톰핑 후에는 두 값이 서로 다른 경우가 많습니다.

지속성 확보에 자주 사용되는 새 서비스 설치를 나타내는 Windows 이벤트 ID는 무엇입니까?

타임라인 분석은 NTFS, 이벤트 로그, 프리페치, 레지스트리, 네트워크 캡처의 타임스탬프를 연관시켜 시간 순서에 따른 공격 서사를 구성합니다. plaso로 슈퍼 타임라인을 만들고 여러 흔적 출처를 교차 참조하면 공격자의 잠복 시간과 행동 순서를 높은 신뢰도로 밝혀낼 수 있습니다.