Nettverks- og minneetterforskning

Nettverksforensikk samler inn og analyserer nettverkstrafikk for å rekonstruere angriperkommunikasjon, identifisere lateral bevegelse og oppdage dataeksfiltrering. I motsetning til endepunktforensikk, som undersøker bevis som kan ha blitt manipulert på en kompromittert vert, er nettverksbevis vanskeligere for angripere å endre i ettertid – de kan ikke slette pakker som allerede er fanget opp av en nettverkstapp eller et system for flytovervåking. Nettverksforensikk utfyller endepunktforensikk og gir et komplett bilde av angrepet.

Pakkeopptak (PCAP) registrerer all nettverkstrafikk på pakkenivå, inkludert hele innholdet i nyttelasten. Verktøyene omfatter Wireshark (grafisk brukergrensesnitt, mye brukt), tcpdump (kommandolinjebasert og kan skriptbehandles) og Zeek (tidligere Bro, genererer protokollogger fra PCAP). Fullstendig pakkeopptak krever mye lagringsplass, og høyhastighetsnettverk kan kreve spesialbygde opptaksenheter. PCAP-analyse kan avdekke: påloggingsinformasjon i klartekstprotokoller, mønstre for C2-beaconing, eksfiltrerte data og forbindelser som viser lateral bevegelse.

NetFlow (og den tilsvarende åpen kildekode-standarden IPFIX) registrerer metadata om nettverksforbindelser uten å fange opp innholdet i nyttelasten: kilde-IP, mål-IP, kildeport, målport, protokoll, antall byte, antall pakker og tidsstempler. NetFlow krever langt mindre lagringsplass enn fullstendig PCAP og egner seg for langtidslagring (90–365 dager). Under en forensisk undersøkelse kan NetFlow identifisere: hvilke systemer som kommuniserte i tidsrommet for hendelsen, dataeksfiltrering (store mengder utgående byte) og C2-beaconing (regelmessige, små forbindelser til eksterne IP-adresser).

DNS-spørringslogger er en verdifull forensisk kilde fordi de fleste C2-kommunikasjoner og nedlastinger av skadevare krever DNS-oppslag. Indikatorer på skadelig DNS-aktivitet omfatter: spørringer til nylig registrerte domener eller domener med lavt omdømme, et høyt antall spørringer til ett enkelt domene (DGA-skadevare som prøver mange genererte navn), DNS-tunnellering (uvanlig lange subdomenenavn eller subdomenenavn med høy entropi som brukes til å eksfiltrere data) og spørringer til domener som er knyttet til kjente skadevarefamilier. DNS logges ofte selv når inspeksjon av HTTP-trafikk er begrenset.

Command and Control-kanaler (C2) mellom servere som kontrolleres av angripere og kompromitterte systemer har karakteristiske mønstre. Beaconing skaper regelmessige, periodiske forbindelser (for eksempel hvert 30. sekund) som kan identifiseres i NetFlow som mange små pakker til samme eksterne IP-adresse med jevne mellomrom. Jitter tilfører tilfeldige variasjoner i beacon-intervallene for å unngå oppdagelse. Analytikere ser etter statistisk regelmessighet i tidspunktet for forbindelser for å identifisere beaconing blant støyen fra normal webtrafikk.

Minneforensikk analyserer RAM-dumper for å hente ut bevis på skadelig aktivitet som kanskje ikke finnes på disken. Volatility Framework (åpen kildekode) er bransjestandardverktøyet for minneanalyse. Viktige funksjoner omfatter: å vise kjørende prosesser og foreldre–barn-relasjonene deres, identifisere injisert kode i legitime prosesser, hente ut nettverksforbindelser som var åpne da minnebildet ble tatt, gjenopprette innhold fra registerhiver i minnet og hente ut krypteringsnøkler som ligger i RAM.

Skadevare i minnet har bestemte mønstre som Volatility-pluginmoduler kan identifisere. Prosessinjisering (kode som er injisert i en legitim prosess, for eksempel svchost.exe) vises som minneområder med kjøringstillatelser i en prosess som normalt ikke skulle hatt slike tillatelser. Hule prosesser (legitime prosesskall der den opprinnelige koden er erstattet av skadelig kode) viser uoverensstemmelser mellom prosessnavnet og den faktiske koden i minnet. Rootkit i kjernen kan skjule prosesser fra prosesslisten, men Volatility kan oppdage dem ved å sammenligne listen over kjørende prosesser med kjernens rå liste over prosessstrukturer.

Minneforensikk er spesielt effektivt for å gjenopprette påloggingsinformasjon. Windows lagrer påloggingsinformasjon i minnet til prosessen LSASS (Local Security Authority Subsystem Service) for Single Sign-On-formål. Verktøy som Mimikatz utnytter dette ved å lese LSASS-minnet for å hente ut passord i klartekst og NTLM-hashverdier. Forensisk kan Volatility hente ut den samme informasjonen fra en minnedump som er samlet inn for undersøkelse. Dette avdekker hvilken påloggingsinformasjon som var bufret på det kompromitterte systemet, og bidrar til å fastslå omfanget av mulig lateral bevegelse.

Den mest effektive forensiske analysen kombinerer nettverks- og minnebevis. Minneanalysen viser hvilke prosesser som kjørte, og hvilken kode de inneholdt, mens nettverksforensikk viser hva disse prosessene kommuniserte med. En prosess som er synlig i Volatility-minneanalysen, har en nettverksforbindelse som er synlig i PCAP, kobler til et domene som er flagget i DNS-logger og tilsvarer en ekstern IP-adresse i NetFlow – denne samstemmigheten gir høy sikkerhet for attribueringen av skadelig aktivitet og støtter en komplett beskrivelse av angrepet.

Nøyaktige tidsstempler er avgjørende for å korrelere forensiske bevis fra nettverk og endepunkter. Hvis klokken på en server går 15 minutter feil i forhold til brannmurens klokke, vil korrelasjon av hendelser basert på tidsstempler gi feil tidslinjer. Forensiske nettverksbevis er bare så pålitelige som tidssynkroniseringen på enhetene som genererer loggene. Organisasjoner må konfigurere enhetlig NTP (Network Time Protocol) på alle sikkerhetsrelevante enheter og dokumentere kjente tidsavvik som oppdages under en undersøkelse.

De fleste moderne C2-kommunikasjoner bruker TLS-kryptering, noe som hindrer nettverksforensiske analytikere i å lese innholdet i nyttelasten direkte. Selv kryptert trafikk avslører imidlertid metadata: mønstre i tidspunkt for forbindelser (beaconing), avvik i sertifikater (selvsignerte sertifikater fra angriperinfrastruktur og CN-felt som ikke samsvarer), JA3-fingeravtrykk (TLS-klientfingeravtrykk som kan identifisere bestemte skadevarefamilier uavhengig av målet) og uvanlige kjennetegn ved TLS-håndtrykket. Verktøy som Zeek trekker automatisk ut JA3-fingeravtrykk fra TLS-forbindelser, slik at kjent skadevare kan oppdages uten å dekryptere trafikken.

I denne leksjonen har De lært at: pakkeopptak og NetFlow gir utfyllende nettverksbevis – PCAP viser hele innholdet, mens NetFlow viser metadata i stor skala, C2-beaconing vises som regelmessige, periodiske forbindelser som kan oppdages gjennom statistisk analyse av tidspunkt for forbindelser, og Volatility Framework analyserer RAM-dumper for å oppdage prosessinjisering, hente ut nettverksforbindelser og identifisere skadevare som skjuler seg i legitime prosesser. Gratulerer med å ha fullført forensikkmodulene – neste tema er risikostyring og sikkerhetsrammeverk.