Анализ временной шкалы и сопоставление артефактов

Злоумышленники перемещаются по среде во времени: первоначальный доступ, закрепление, перемещение по сети и вывод данных могут занимать дни или недели. Анализ временной шкалы сопоставляет артефакты из разных источников, чтобы восстановить последовательность атаки и определить время присутствия злоумышленника в системе.

Основные источники времени: времена MAC NTFS (записи MFT), временные метки журнала событий Windows, временные метки выполнения Prefetch, времена последней записи в реестре, временные метки истории браузера и записи журнала изменений $UsnJrnl. Каждый источник отличается точностью и устойчивостью к подделке.

NTFS хранит для каждого файла время изменения содержимого, время доступа (последнего чтения) и время создания, а также отдельный атрибут $STANDARD_INFORMATION с дополнительными временными метками. Злоумышленники могут изменять времена MAC (таймстомпинг); сравнивайте оба набора атрибутов, чтобы обнаружить манипуляции.

Ключевые ID событий: 4624 (успешный вход в систему), 4625 (неудачный вход), 4648 (явно указанные учётные данные), 4688 (создание процесса с командной строкой), 4698 (создание запланированной задачи), 7045 (установка новой службы), 4720 (создание учётной записи пользователя). Отфильтруйте их в пределах временного окна инцидента.

Prefetch в Windows записывает временные метки выполнения приложений и файлы, к которым они обращались. В каталоге C:\Windows\Prefetch\ каждый файл .pf содержит последние 8 времён запуска программы. Файлы Prefetch сохраняются после удаления приложения, доказывая, что программа запускалась, даже если её удалили.

log2timeline (plaso) извлекает временные метки из десятков типов артефактов и объединяет их в единую супер-временную шкалу. С помощью psort.py отфильтруйте данные, сосредоточившись на определённых временных окнах и типах артефактов. Получившийся CSV можно импортировать в инструменты для работы с временными шкалами или электронные таблицы для анализа.

Сопоставляйте между собой ID события 4688 (создание процесса), выполнение Prefetch, создание XML-файла запланированной задачи в реестре и событие 7045, а также временные метки перемещения по сети в журнале безопасности с трафиком SMB в сетевых захватах. Согласованные временные метки из разных источников повышают достоверность выводов.

Сравнивайте временную шкалу системы с эталонными профилями. Создание исполняемых файлов в каталогах профилей пользователей, изменение ключей Run реестра в необычное время и исходящие соединения от процессов, не являющихся браузерами, выделяются в чистой временной шкале.

Сопоставляйте время запуска процессов в Volatility (windows.pslist показывает create_time) с записями 4688 в журнале событий, чтобы подтвердить выполнение процессов, а также с временной шкалой сетевых соединений, чтобы определить, когда началось взаимодействие с инфраструктурой управления и контроля относительно первоначальной компрометации.

В официальной временной шкале инцидента фиксируются: T+0 (способ и время первоначального доступа), каждое последующее действие злоумышленника с указанием источника доказательств, переходы при перемещении по сети, подготовленные и выведенные данные с временными метками, а также временные метки действий по сдерживанию инцидента. Эта временная шкала становится основой отчёта об инциденте.

Злоумышленники используют инструменты таймстомпинга, чтобы установить для вредоносных файлов времена MAC, совпадающие с временами легитимных системных файлов, и скрыть их при массовом анализе временной шкалы. Для обнаружения таймстомпинга сравнивайте временные метки атрибута $STANDARD_INFORMATION с временными метками атрибута $FILE_NAME: после подделки они часто различаются.

Анализ временной шкалы объединяет временные метки из NTFS, журналов событий, Prefetch, реестра и сетевых захватов в хронологическое описание атаки. Использование plaso для построения супер-временных шкал и сопоставление источников артефактов с высокой достоверностью выявляют время присутствия злоумышленника в системе и последовательность его действий.