Analiza osi czasu i korelacja artefaktów

Atakujący przemieszczają się w środowisku w czasie — uzyskanie początkowego dostępu, utrzymanie dostępu, ruch boczny i eksfiltracja danych mogą trwać dni lub tygodnie. Analiza osi czasu koreluje artefakty z różnych źródeł, aby odtworzyć przebieg ataku i określić czas obecności atakującego w środowisku.

Najważniejsze źródła czasu to: czasy MAC systemu NTFS (wpisy MFT), sygnatury czasowe dziennika zdarzeń systemu Windows, sygnatury czasowe uruchomień wstępnych, czasy ostatniego zapisu ule rejestru, sygnatury czasowe historii przeglądarki oraz wpisy dziennika zmian $UsnJrnl. Każde z tych źródeł ma inną precyzję i odporność na manipulacje.

System plików NTFS przechowuje dla każdego pliku czas modyfikacji (zmiany zawartości), dostępu (ostatniego odczytu) i utworzenia, a także dodatkowe sygnatury czasowe w osobnym atrybucie $STANDARD_INFORMATION. Atakujący mogą modyfikować czasy MAC (timestomping) — należy porównać oba zestawy atrybutów, aby wykryć manipulację.

Najważniejsze identyfikatory zdarzeń to: 4624 (pomyślne logowanie), 4625 (nieudane logowanie), 4648 (jawnie podane dane uwierzytelniające), 4688 (utworzenie procesu wraz z wierszem poleceń), 4698 (utworzenie zaplanowanego zadania), 7045 (zainstalowanie nowej usługi), 4720 (utworzenie konta użytkownika). Należy filtrować te zdarzenia w oknie czasowym incydentu.

Prefetch systemu Windows rejestruje sygnatury czasowe uruchomień aplikacji oraz odwołujące się do nich pliki. Każdy plik .pf znajdujący się w lokalizacji C:\Windows\Prefetch\ zawiera 8 ostatnich czasów uruchomienia programu. Pliki Prefetch pozostają po usunięciu aplikacji, co pozwala potwierdzić, że program został uruchomiony, nawet jeśli go usunięto.

log2timeline (plaso) wyodrębnia sygnatury czasowe z dziesiątek typów artefaktów i umieszcza je na ujednoliconej superosi czasu. Za pomocą psort.py można filtrować wyniki, aby skupić się na określonych przedziałach czasowych i typach artefaktów. Wynikowy plik CSV można zaimportować do narzędzi do analizy osi czasu lub arkuszy kalkulacyjnych.

Należy powiązać: identyfikator zdarzenia 4688 (utworzenie procesu) z uruchomieniem zarejestrowanym przez Prefetch, utworzenie pliku XML zaplanowanego zadania w rejestrze ze zdarzeniem 7045 oraz sygnatury czasowe ruchu bocznego w dzienniku zabezpieczeń z ruchem SMB w przechwyconych danych sieciowych. Spójne sygnatury czasowe z różnych źródeł zwiększają wiarygodność ustaleń.

Należy porównać oś czasu systemu z wzorcami odniesienia. Utworzenie plików wykonywalnych w katalogach profili użytkowników, modyfikacje klucza Run rejestru o nietypowych porach oraz połączenia wychodzące z procesów innych niż przeglądarki — te anomalie wyraźnie wyróżniają się na czystej osi czasu.

Należy skorelować czasy uruchomienia procesów z Volatility (windows.pslist pokazuje create_time) z wpisami 4688 w dzienniku zdarzeń, aby potwierdzić wykonanie procesu, a także z osią czasu połączeń sieciowych, aby ustalić, kiedy rozpoczęła się komunikacja C2 w odniesieniu do początkowego naruszenia.

Formalna oś czasu incydentu dokumentuje: T+0 (metodę i sygnaturę czasową uzyskania początkowego dostępu), każde kolejne działanie atakującego wraz ze źródłem dowodu, przeskoki ruchu bocznego, dane przygotowane do eksfiltracji i wyeksfiltrowane wraz z sygnaturami czasowymi oraz sygnatury czasowe działań powstrzymujących incydent. Stanowi ona podstawę raportu z incydentu.

Atakujący używają narzędzi do timestompingu, aby ustawić czasy MAC złośliwych plików tak, by odpowiadały prawidłowym plikom systemowym, i ukryć je podczas zbiorczej analizy osi czasu. Wykrywanie timestompingu: należy porównać sygnatury czasowe atrybutu $STANDARD_INFORMATION z sygnaturami czasowymi atrybutu $FILE_NAME — po wykonaniu timestompingu często się różnią.

Jaki identyfikator zdarzenia systemu Windows wskazuje na zainstalowanie nowej usługi, często wykorzystywanej do utrzymania dostępu?

Analiza osi czasu koreluje sygnatury czasowe z systemu NTFS, dzienników zdarzeń, Prefetch, rejestru i przechwyconych danych sieciowych, tworząc chronologiczną narrację ataku. Użycie plaso do budowania superosi czasu oraz powiązanie źródeł artefaktów ujawniają czas obecności atakującego w środowisku i sekwencję jego działań z wysoką wiarygodnością.