Forensik Rangkaian dan Memori

Forensik rangkaian menangkap dan menganalisis trafik rangkaian untuk membina semula komunikasi penyerang, mengenal pasti pergerakan lateral dan mengesan penyingkiran data. Tidak seperti forensik titik akhir, yang memeriksa bukti yang mungkin telah diusik pada hos yang terjejas, bukti rangkaian lebih sukar diubah oleh penyerang selepas kejadian — mereka tidak boleh memadam secara retroaktif paket yang telah ditangkap oleh penyadap rangkaian atau sistem pemantauan aliran. Forensik rangkaian melengkapi forensik titik akhir untuk memberikan gambaran serangan yang lengkap.

Penangkapan paket (PCAP) merekodkan semua trafik rangkaian pada peringkat paket, termasuk kandungan muatan penuh. Alat yang digunakan termasuk Wireshark (berasaskan GUI dan digunakan secara meluas), tcpdump (baris perintah dan boleh diskripkan), serta Zeek (dahulunya Bro, menghasilkan rekod peringkat protokol daripada PCAP). Penangkapan paket penuh memerlukan kapasiti storan yang besar; rangkaian berkelajuan tinggi mungkin memerlukan peranti penangkapan khusus. Analisis PCAP boleh mendedahkan: kelayakan dalam protokol teks jelas, corak suar C2, data yang disingkirkan dan sambungan pergerakan lateral.

NetFlow (dan setara sumber terbukanya, IPFIX) merekodkan metadata tentang perbualan rangkaian tanpa menangkap kandungan muatan: IP sumber/destinasi, port sumber/destinasi, protokol, jumlah bait, jumlah paket dan cap masa. NetFlow jauh lebih cekap dari segi storan berbanding PCAP penuh dan sesuai untuk penyimpanan jangka panjang (90–365 hari). Semasa forensik, NetFlow boleh mengenal pasti: sistem yang berkomunikasi dalam tempoh kejadian, penyingkiran data (jumlah bait keluar yang besar) dan suar C2 (sambungan kecil yang tetap ke IP luaran).

Rekod pertanyaan DNS ialah sumber forensik yang berkuasa kerana kebanyakan komunikasi C2 dan muat turun perisian hasad memerlukan penyelesaian DNS. Petunjuk aktiviti DNS berniat jahat termasuk: pertanyaan kepada domain yang baru didaftarkan atau bereputasi rendah, pertanyaan berjumlah tinggi kepada satu domain (perisian hasad DGA yang mencuba banyak nama yang dijana), terowong DNS (nama subdomain yang luar biasa panjang atau mempunyai entropy tinggi yang digunakan untuk menyingkirkan data), serta pertanyaan kepada domain yang dikaitkan dengan keluarga perisian hasad yang diketahui. DNS sering direkodkan walaupun pemeriksaan trafik HTTP adalah terhad.

Saluran Perintah dan Kawalan (C2) antara pelayan yang dikawal penyerang dengan sistem yang terjejas mempunyai corak tertentu. Penyuaran menghasilkan sambungan berkala yang tetap (contohnya, setiap 30 saat) dan boleh dikenal pasti dalam NetFlow sebagai banyak paket kecil ke IP luaran yang sama pada selang masa tetap. Jitter menambah rawak pada selang suar untuk mengelakkan pengesanan. Penganalisis mencari keteraturan statistik dalam masa sambungan untuk mengenal pasti penyuaran di celah gangguan trafik web biasa.

Forensik memori menganalisis longgokan RAM untuk mengekstrak bukti aktiviti berniat jahat yang mungkin tidak terdapat pada cakera. Volatility Framework (sumber terbuka) ialah alat piawaian industri untuk analisis memori. Keupayaan utama termasuk: menyenaraikan proses yang sedang berjalan serta hubungan induk-anaknya, mengenal pasti kod yang disuntik ke dalam proses yang sah, mengekstrak sambungan rangkaian yang terbuka pada masa pemerolehan, memulihkan kandungan sarang pendaftaran daripada memori dan mengekstrak kunci penyulitan yang disimpan dalam RAM.

Perisian hasad dalam memori menunjukkan corak tertentu yang dikenal pasti oleh pemalam Volatility. Suntikan proses (kod yang disuntik ke dalam proses yang sah seperti svchost.exe) muncul sebagai kawasan memori dengan kebenaran pelaksanaan dalam proses yang biasanya tidak memilikinya. Proses berongga (cangkerang proses yang sah dengan kod berniat jahat menggantikan kod asal) menunjukkan ketidakselarasan antara nama proses dengan kod sebenar dalam memori. Kit akar kernel mungkin menyembunyikan proses daripada senarai proses, tetapi Volatility boleh mengesannya dengan membandingkan senarai proses yang sedang berjalan dengan senarai struktur proses mentah kernel.

Forensik memori amat berkuasa untuk memulihkan kelayakan. Windows menyimpan kelayakan dalam memori proses LSASS (Perkhidmatan Subsistem Pihak Berkuasa Keselamatan Tempatan) untuk tujuan Log Masuk Tunggal. Alat seperti Mimikatz mengeksploitasi keadaan ini dengan membaca memori LSASS untuk mengekstrak kata laluan teks jelas dan cincangan NTLM. Dari sudut forensik, Volatility boleh mengekstrak maklumat yang sama daripada longgokan memori yang diperoleh untuk siasatan — mendedahkan kelayakan yang dicache pada sistem terjejas, sekali gus membantu menentukan skop potensi pergerakan lateral.

Analisis forensik yang paling berkuasa menggabungkan bukti rangkaian dan memori. Memori menunjukkan proses yang sedang berjalan serta kod yang terkandung di dalamnya; forensik rangkaian menunjukkan perkara yang disampaikan oleh proses tersebut. Sesuatu proses yang kelihatan dalam analisis memori Volatility, mempunyai sambungan rangkaian yang kelihatan dalam PCAP, bersambung ke domain yang ditandai dalam rekod DNS dan sepadan dengan IP luaran dalam NetFlow — keselarasan ini memberikan atribusi berkeyakinan tinggi terhadap aktiviti berniat jahat serta menyokong naratif serangan yang lengkap.

Cap masa yang tepat penting untuk menghubungkaitkan bukti forensik rangkaian dan titik akhir. Jika jam pelayan tersasar 15 minit berbanding jam tembok api, menghubungkaitkan kejadian berdasarkan cap masa akan menghasilkan garis masa palsu. Kebolehpercayaan bukti forensik rangkaian bergantung sepenuhnya pada penyegerakan masa peranti yang menjana rekod. Organisasi mesti mengkonfigurasi NTP (Protokol Masa Rangkaian) yang konsisten pada semua peranti berkaitan keselamatan dan mendokumenkan sebarang percanggahan masa yang diketahui semasa siasatan.

Kebanyakan komunikasi C2 moden menggunakan penyulitan TLS, yang menghalang penganalisis forensik rangkaian daripada membaca kandungan muatan secara langsung. Namun begitu, trafik yang disulitkan masih mendedahkan metadata: corak masa sambungan (penyuaran), keabnormalan sijil (sijil ditandatangani sendiri daripada infrastruktur penyerang, medan CN yang tidak sepadan), cap jari JA3 (cap jari klien TLS yang boleh mengenal pasti keluarga perisian hasad tertentu tanpa mengira destinasi) dan ciri jabat tangan TLS yang luar biasa. Alat seperti Zeek mengekstrak cap jari JA3 secara automatik daripada sambungan TLS, sekali gus membolehkan pengesanan perisian hasad yang diketahui tanpa menyahsulit trafik.

Dalam pelajaran ini, anda mempelajari bahawa: penangkapan paket dan NetFlow menyediakan bukti rangkaian yang saling melengkapi — PCAP menunjukkan kandungan penuh manakala NetFlow menunjukkan metadata pada skala besar, penyuaran C2 muncul sebagai sambungan berkala yang tetap dan boleh dikesan melalui analisis statistik masa sambungan, serta Volatility Framework menganalisis longgokan RAM untuk mengesan suntikan proses, mengekstrak sambungan rangkaian dan mengenal pasti perisian hasad yang bersembunyi dalam proses yang sah. Tahniah kerana telah melengkapkan modul forensik — seterusnya ialah pengurusan risiko dan rangka kerja keselamatan.