Kryminalistyka sieciowa i pamięci

Informatyka śledcza sieci rejestruje i analizuje ruch sieciowy, aby odtworzyć komunikację atakujących, zidentyfikować ruch lateralny i wykryć eksfiltrację danych. W przeciwieństwie do informatyki śledczej punktów końcowych, która analizuje dowody, jakie mogły zostać zmodyfikowane na zaatakowanym hoście, dowody sieciowe są trudniejsze do zmienienia przez atakujących po fakcie — nie mogą oni retroaktywnie usunąć pakietów zarejestrowanych już przez sondę sieciową lub system monitorowania przepływów. Informatyka śledcza sieci uzupełnia informatykę śledczą punktów końcowych, zapewniając pełny obraz ataku.

Przechwytywanie pakietów (PCAP) rejestruje cały ruch sieciowy na poziomie pakietów, w tym pełną zawartość ładunku. Do narzędzi należą Wireshark (oparty na interfejsie graficznym, szeroko stosowany), tcpdump (wiersz poleceń, możliwość skryptowania) oraz Zeek (wcześniej Bro, tworzy dzienniki na poziomie protokołów na podstawie PCAP). Pełne przechwytywanie pakietów wymaga dużej przestrzeni dyskowej; w sieciach o dużej przepustowości może być konieczne użycie specjalizowanych urządzeń do przechwytywania. Analiza PCAP może ujawnić: dane uwierzytelniające w protokołach przesyłających dane jawnym tekstem, wzorce sygnalizacji C2, eksfiltrowane dane oraz połączenia związane z ruchem lateralnym.

NetFlow (oraz jego otwarty odpowiednik IPFIX) rejestruje metadane dotyczące komunikacji sieciowej bez przechwytywania zawartości ładunku: źródłowy i docelowy adres IP, źródłowy i docelowy port, protokół, liczbę bajtów, liczbę pakietów oraz znaczniki czasu. NetFlow wymaga znacznie mniej przestrzeni niż pełny zapis PCAP i nadaje się do długoterminowego przechowywania danych (przez 90–365 dni). Podczas analizy śledczej NetFlow może zidentyfikować: systemy, które komunikowały się w czasie trwania incydentu, eksfiltrację danych (dużą liczbę wychodzących bajtów) oraz sygnalizację C2 (regularne małe połączenia z zewnętrznymi adresami IP).

Dzienniki zapytań DNS są cennym źródłem dowodów, ponieważ większość komunikacji C2 i pobierania złośliwego oprogramowania wymaga rozpoznawania nazw DNS. Oznaki złośliwej aktywności DNS obejmują: zapytania do niedawno zarejestrowanych domen lub domen o niskiej reputacji, dużą liczbę zapytań do jednej domeny (złośliwe oprogramowanie DGA próbujące wielu wygenerowanych nazw), tunelowanie DNS (nietypowo długie lub charakteryzujące się wysoką entropią nazwy subdomen używane do eksfiltracji danych) oraz zapytania do domen powiązanych ze znanymi rodzinami złośliwego oprogramowania. Ruch DNS jest często rejestrowany nawet wtedy, gdy możliwości inspekcji ruchu HTTP są ograniczone.

Kanały Command and Control (C2) między serwerami kontrolowanymi przez atakujących a zaatakowanymi systemami mają charakterystyczne wzorce. Sygnalizacja generuje regularne, okresowe połączenia (np. co 30 sekund), które można zidentyfikować w NetFlow jako wiele małych pakietów wysyłanych do tego samego zewnętrznego adresu IP w regularnych odstępach. Jitter wprowadza losowość do odstępów między sygnałami, aby utrudnić wykrycie. Analitycy szukają statystycznej regularności w czasie nawiązywania połączeń, aby zidentyfikować sygnalizację wśród szumu generowanego przez zwykły ruch sieciowy.

Informatyka śledcza pamięci analizuje zrzuty pamięci RAM w celu wydobycia dowodów złośliwej aktywności, które mogą nie występować na dysku. Volatility Framework (oprogramowanie open source) to standardowe w branży narzędzie do analizy pamięci. Najważniejsze możliwości obejmują: wyświetlanie uruchomionych procesów i relacji nadrzędny–podrzędny między nimi, identyfikowanie wstrzykniętego kodu w legalnych procesach, wyodrębnianie połączeń sieciowych otwartych w chwili pozyskania obrazu, odzyskiwanie zawartości gałęzi rejestru z pamięci oraz wyodrębnianie kluczy szyfrowania przechowywanych w pamięci RAM.

Złośliwe oprogramowanie w pamięci ma określone wzorce, które identyfikują wtyczki Volatility. Wstrzykiwanie procesu (kod wstrzyknięty do legalnego procesu, takiego jak svchost.exe) jest widoczne jako regiony pamięci z uprawnieniami wykonywania w procesie, który normalnie nie powinien ich mieć. Procesy typu hollow (powłoki legalnych procesów, w których oryginalny kod zastąpiono złośliwym) wykazują niespójności między nazwą procesu a rzeczywistym kodem znajdującym się w pamięci. Rootkity jądra mogą ukrywać procesy przed listą procesów, ale Volatility może je wykryć, porównując listę uruchomionych procesów z surową listą struktur procesów jądra.

Informatyka śledcza pamięci jest szczególnie skuteczna w odzyskiwaniu danych uwierzytelniających. System Windows przechowuje dane uwierzytelniające w pamięci procesu LSASS (Local Security Authority Subsystem Service) na potrzeby jednokrotnego logowania. Narzędzia takie jak Mimikatz wykorzystują to, odczytując pamięć LSASS w celu wyodrębnienia haseł jawnotekstowych i skrótów NTLM. W ramach analizy śledczej Volatility może wyodrębnić te same informacje ze zrzutu pamięci pozyskanego na potrzeby dochodzenia, ujawniając, jakie dane uwierzytelniające były przechowywane w zaatakowanym systemie. Pozwala to określić zakres potencjalnego ruchu lateralnego.

Najskuteczniejsza analiza śledcza łączy dowody sieciowe i pamięciowe. Pamięć pokazuje, jakie procesy były uruchomione i jaki kod zawierały, natomiast analiza śledcza sieci pokazuje, z czym te procesy się komunikowały. Proces widoczny w analizie pamięci Volatility, który ma połączenie sieciowe widoczne w PCAP, łączy się z domeną oznaczoną w dziennikach DNS, a jego połączenie odpowiada zewnętrznemu adresowi IP w NetFlow — taka zbieżność zapewnia wysoce wiarygodne przypisanie złośliwej aktywności i pozwala odtworzyć pełny przebieg ataku.

Dokładne znaczniki czasu są niezbędne do korelowania dowodów z analizy śledczej sieci i punktów końcowych. Jeśli zegar serwera jest przesunięty o 15 minut względem zegara zapory sieciowej, korelowanie zdarzeń na podstawie znaczników czasu prowadzi do utworzenia fałszywej osi czasu. Wiarygodność dowodów z analizy śledczej sieci zależy od synchronizacji czasu urządzeń generujących dzienniki. Organizacje muszą skonfigurować spójny protokół NTP (Network Time Protocol) na wszystkich urządzeniach istotnych z punktu widzenia bezpieczeństwa oraz udokumentować wszelkie znane rozbieżności czasowe wykryte podczas dochodzenia.

Większość współczesnej komunikacji C2 korzysta z szyfrowania TLS, co uniemożliwia analitykom analizy śledczej sieci bezpośrednie odczytanie zawartości ładunku. Jednak nawet szyfrowany ruch ujawnia metadane: wzorce czasowe połączeń (sygnalizację), anomalie certyfikatów (certyfikaty samopodpisane pochodzące z infrastruktury atakującego, niezgodne pola CN), odciski JA3 (odciski klientów TLS, które mogą identyfikować konkretne rodziny złośliwego oprogramowania niezależnie od miejsca docelowego) oraz nietypowe cechy uzgadniania TLS. Narzędzia takie jak Zeek automatycznie wyodrębniają odciski JA3 z połączeń TLS, umożliwiając wykrywanie znanego złośliwego oprogramowania bez odszyfrowywania ruchu.

Sprawdź swoją znajomość zagadnień z CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: przechwytywanie pakietów i NetFlow dostarczają uzupełniających się dowodów sieciowych — PCAP pokazuje pełną zawartość, a NetFlow metadane w dużej skali, sygnalizacja C2 pojawia się jako regularne, okresowe połączenia wykrywalne dzięki analizie statystycznej czasu połączeń, a Volatility Framework analizuje zrzuty pamięci RAM w celu wykrywania wstrzykiwania procesów, wyodrębniania połączeń sieciowych i identyfikowania złośliwego oprogramowania ukrytego w legalnych procesach. Gratulujemy ukończenia modułów dotyczących informatyki śledczej — następnym tematem będą zarządzanie ryzykiem i ramy bezpieczeństwa.