Netwerk- en geheugenforensiek

Netwerkforensisch onderzoek legt netwerkverkeer vast en analyseert het om communicatie van aanvallers te reconstrueren, laterale beweging te identificeren en gegevensdiefstal te detecteren. In tegenstelling tot forensisch onderzoek op eindpunten, waarbij bewijsmateriaal wordt onderzocht dat mogelijk op een gecompromitteerde host is gemanipuleerd, is netwerkmateriaal achteraf moeilijker door aanvallers te wijzigen — ze kunnen pakketten die al door een netwerktap of een systeem voor verkeersstroombewaking zijn vastgelegd niet achteraf verwijderen. Netwerkforensisch onderzoek vormt een aanvulling op forensisch onderzoek op eindpunten en geeft zo een volledig beeld van de aanval.

Pakketvastlegging (PCAP) registreert al het netwerkverkeer op pakketniveau, inclusief de volledige inhoud van de lading. Hulpmiddelen zijn onder andere Wireshark (met grafische gebruikersinterface, veelgebruikt), tcpdump (op de opdrachtregel, geschikt voor scripts) en Zeek (voorheen Bro, genereert logboeken op protocolniveau uit PCAP). Volledige pakketvastlegging vereist veel opslagruimte; voor netwerken met hoge snelheid zijn mogelijk speciaal ontworpen vastleggingsapparaten nodig. Met PCAP-analyse kunnen onder andere het volgende worden ontdekt: aanmeldgegevens in protocollen zonder versleuteling, patronen van C2-bakens, buitgemaakte gegevens en verbindingen die wijzen op laterale beweging.

NetFlow (en het opensource-equivalent IPFIX) registreert metagegevens over netwerkgesprekken zonder de inhoud van de lading vast te leggen: bron-IP, doel-IP, bronpoort, doelpoort, protocol, aantal bytes, aantal pakketten en tijdstempels. NetFlow vereist veel minder opslagruimte dan volledige PCAP en is geschikt voor langdurige bewaring (90–365 dagen). Tijdens forensisch onderzoek kan NetFlow identificeren: welke systemen tijdens de periode van het incident met elkaar communiceerden, gegevensdiefstal (grote uitgaande hoeveelheden bytes) en C2-bakens (regelmatige kleine verbindingen met externe IP-adressen).

DNS-querylogboeken zijn een waardevolle bron voor forensisch onderzoek, omdat voor de meeste C2-communicatie en malwaredownloads DNS-resolutie nodig is. Aanwijzingen voor kwaadaardige DNS-activiteit zijn onder andere: queries naar pas geregistreerde domeinen of domeinen met een slechte reputatie, veel queries naar één domein (DGA-malware die veel gegenereerde namen probeert), DNS-tunneling (ongebruikelijk lange subdomeinnamen met een hoge entropie die worden gebruikt om gegevens te stelen) en queries naar domeinen die aan bekende malwarefamilies zijn gekoppeld. DNS wordt vaak gelogd, zelfs wanneer de inspectie van HTTP-verkeer beperkt is.

Kanalen voor opdracht en besturing (C2) tussen servers die door aanvallers worden beheerd en gecompromitteerde systemen vertonen kenmerkende patronen. Bakenverkeer veroorzaakt regelmatig terugkerende verbindingen (bijvoorbeeld elke 30 seconden), die in NetFlow herkenbaar zijn als veel kleine pakketten naar hetzelfde externe IP-adres met een vast interval. Jitter voegt willekeur toe aan de intervallen tussen bakens om detectie te omzeilen. Analisten zoeken naar statistische regelmaat in de timing van verbindingen om bakenverkeer te herkennen tussen het ruisende patroon van normaal webverkeer.

Geheugenforensisch onderzoek analyseert RAM-dumps om bewijsmateriaal van kwaadaardige activiteit te verzamelen dat mogelijk niet op schijf aanwezig is. Het Volatility Framework (opensource) is het industriestandaardhulpmiddel voor geheugenanalyse. Belangrijke mogelijkheden zijn: actieve processen en hun ouder-kindrelaties weergeven, geïnjecteerde code in legitieme processen identificeren, netwerkverbindingen verzamelen die tijdens de verwerving open waren, de inhoud van registercomponenten uit het geheugen herstellen en versleutelingssleutels verzamelen die in RAM worden bewaard.

Malware in het geheugen vertoont specifieke patronen die plug-ins van Volatility herkennen. Procesinjectie (code die in een legitiem proces zoals svchost.exe is geïnjecteerd) verschijnt als geheugengebieden met uitvoeringsrechten in een proces dat deze normaal gesproken niet zou hebben. Uitgeholde processen (legitieme processkeletten waarvan de oorspronkelijke code door kwaadaardige code is vervangen) vertonen tegenstrijdigheden tussen de procesnaam en de daadwerkelijke code in het geheugen. Kernel-rootkits kunnen processen verbergen voor de proceslijst, maar Volatility kan ze detecteren door de actieve proceslijst te vergelijken met de lijst met onbewerkte processtructuren van de kernel.

Geheugenforensisch onderzoek is bijzonder krachtig voor het herstellen van aanmeldgegevens. Windows slaat aanmeldgegevens op in het geheugen van het proces LSASS (Local Security Authority Subsystem Service) voor Single Sign-On-doeleinden. Hulpmiddelen zoals Mimikatz maken hier misbruik van door het geheugen van LSASS te lezen en wachtwoorden als tekst zonder versleuteling en NTLM-hashes te verzamelen. Forensisch gezien kan Volatility dezelfde informatie uit een voor onderzoek verkregen geheugendump halen. Zo wordt duidelijk welke aanmeldgegevens op het gecompromitteerde systeem in de cache stonden, wat inzicht geeft in de omvang van mogelijke laterale beweging.

De krachtigste forensische analyse combineert netwerk- en geheugengegevens. Het geheugen laat zien welke processen actief waren en welke code ze bevatten; netwerkforensisch onderzoek laat zien met welke systemen die processen communiceerden. Een proces dat zichtbaar is in de geheugenanalyse van Volatility, een netwerkverbinding heeft die zichtbaar is in PCAP, verbinding maakt met een domein dat in DNS-logboeken als verdacht is aangemerkt en overeenkomt met een extern IP-adres in NetFlow — deze samenhang levert een zeer betrouwbare toeschrijving van kwaadaardige activiteit op en ondersteunt een volledig aanvalsoverzicht.

Nauwkeurige tijdstempels zijn essentieel voor het correleren van forensische gegevens van netwerken en eindpunten. Als de klok van een server 15 minuten afwijkt van die van de firewall, ontstaan er bij het correleren van gebeurtenissen op basis van tijdstempels onjuiste tijdlijnen. De betrouwbaarheid van forensisch netwerkmateriaal is beperkt tot de nauwkeurigheid van de tijdsynchronisatie van de apparaten die de logboeken genereren. Organisaties moeten op alle beveiligingsrelevante apparaten een consistente NTP (Network Time Protocol)-configuratie instellen en bekende tijdsverschillen die tijdens een onderzoek worden ontdekt documenteren.

De meeste moderne C2-communicatie gebruikt TLS-versleuteling, waardoor netwerkforensisch analisten de inhoud van de lading niet rechtstreeks kunnen lezen. Toch onthult zelfs versleuteld verkeer metagegevens: patronen in de timing van verbindingen (bakenverkeer), afwijkingen in certificaten (zelfondertekende certificaten van aanvals­infrastructuur en niet-overeenkomende CN-velden), JA3-fingerprints (vingerafdrukken van TLS-clients waarmee specifieke malwarefamilies kunnen worden geïdentificeerd, ongeacht de bestemming) en ongebruikelijke kenmerken van TLS-handshakes. Hulpmiddelen zoals Zeek halen automatisch JA3-fingerprints uit TLS-verbindingen, zodat bekende malware kan worden gedetecteerd zonder het verkeer te ontsleutelen.

In deze les heb je geleerd dat pakketvastleggingen en NetFlow elkaar aanvullende netwerkgegevens leveren — PCAP toont de volledige inhoud, terwijl NetFlow op grote schaal metagegevens toont, dat C2-bakenverkeer verschijnt als regelmatig terugkerende verbindingen die kunnen worden gedetecteerd door statistische analyse van de timing van verbindingen en dat het Volatility Framework RAM-dumps analyseert om procesinjectie te detecteren, netwerkverbindingen te verzamelen en malware te identificeren die zich in legitieme processen verbergt. Gefeliciteerd met het voltooien van de modules over forensisch onderzoek — hierna volgen risicobeheer en beveiligingsframeworks.