Nätverks- och minnesforensik

Nätverksforensik samlar in och analyserar nätverkstrafik för att rekonstruera angripares kommunikation, identifiera lateral förflyttning och upptäcka dataexfiltrering. Till skillnad från endpoint-forensik, som undersöker bevis som kan ha manipulerats på en komprometterad värd, är nätverksbevis svårare för angripare att ändra i efterhand — de kan inte retroaktivt radera paket som redan har fångats av en nätverkstapp eller ett system för flödesövervakning. Nätverksforensik kompletterar endpoint-forensik och ger en komplett bild av angreppet.

Paketinspelning (PCAP) registrerar all nätverkstrafik på paketnivå, inklusive hela nyttolastens innehåll. Verktyg omfattar Wireshark (grafiskt gränssnitt, används i stor utsträckning), tcpdump (kommandoradsbaserat och skriptbart) och Zeek (hette tidigare Bro och skapar protokolloggar från PCAP). Fullständig paketinspelning kräver mycket lagringsutrymme; nätverk med hög hastighet kan kräva specialbyggda inspelningsenheter. PCAP-analys kan avslöja: inloggningsuppgifter i klartextprotokoll, mönster för C2-beacons, exfiltrerade data och anslutningar som visar lateral förflyttning.

NetFlow (och motsvarigheten IPFIX med öppen källkod) registrerar metadata om nätverkskommunikation utan att fånga nyttolastens innehåll: käll-IP, destinations-IP, källport, destinationsport, protokoll, antal byte, antal paket och tidsstämplar. NetFlow kräver betydligt mindre lagringsutrymme än fullständig PCAP och lämpar sig för långvarig lagring (90–365 dagar). Under en forensisk undersökning kan NetFlow identifiera: vilka system som kommunicerade under incidentperioden, dataexfiltrering (stora mängder utgående byte) och C2-beacons (regelbundna små anslutningar till externa IP-adresser).

Loggar över DNS-frågor är en värdefull forensisk källa eftersom de flesta C2-kommunikationer och nedladdningar av skadlig kod kräver DNS-upplösning. Indikatorer på skadlig DNS-aktivitet omfattar: frågor till nyligen registrerade domäner eller domäner med låg reputation, ett stort antal frågor till en och samma domän (DGA-baserad skadlig kod som provar många genererade namn), DNS-tunnling (ovanligt långa subdomännamn eller subdomännamn med hög entropi som används för att exfiltrera data) och frågor till domäner som förknippas med kända familjer av skadlig kod. DNS loggas ofta även när inspektionen av HTTP-trafik är begränsad.

Kommandon och styrkanaler (C2) mellan angriparkontrollerade servrar och komprometterade system uppvisar karakteristiska mönster. Beaconing skapar regelbundna periodiska anslutningar (till exempel var 30:e sekund) som kan identifieras i NetFlow som många små paket till samma externa IP-adress med regelbundna intervall. Jitter lägger till randomisering i beacon-intervallen för att undvika upptäckt. Analytiker letar efter statistisk regelbundenhet i anslutningarnas tidsmönster för att identifiera beaconing bland bruset från normal webbtrafik.

Minnesforensik analyserar RAM-dumpar för att hitta bevis på skadlig aktivitet som kanske inte finns på disk. Volatility Framework (öppen källkod) är branschstandardverktyget för minnesanalys. Viktiga funktioner är att lista körande processer och deras relationer mellan överordnade och underordnade processer, identifiera injicerad kod i legitima processer, extrahera nätverksanslutningar som var öppna när minnet samlades in, återskapa innehåll från registerkuber i minnet och extrahera krypteringsnycklar som finns i RAM.

Skadlig kod i minnet uppvisar specifika mönster som Volatility-pluginer kan identifiera. Processinjektering (kod som injicerats i en legitim process som svchost.exe) visas som minnesområden med körningsbehörighet i en process som normalt inte skulle ha sådan behörighet. Hålprocesser (skal för legitima processer där den ursprungliga koden har ersatts av skadlig kod) uppvisar inkonsekvenser mellan processnamnet och den faktiska koden i minnet. Rootkit-program i kärnan kan dölja processer från processlistan, men Volatility kan upptäcka dem genom att jämföra listan över körande processer med kärnans råa lista över processstrukturer.

Minnesforensik är särskilt effektivt för att återställa autentiseringsuppgifter. Windows lagrar autentiseringsuppgifter i minnet för processen LSASS (Local Security Authority Subsystem Service) för Single Sign-On. Verktyg som Mimikatz utnyttjar detta genom att läsa LSASS-minnet för att extrahera lösenord i klartext och NTLM-hashvärden. Vid en forensisk undersökning kan Volatility extrahera samma information från en minnesdump som samlats in för utredning — vilket visar vilka autentiseringsuppgifter som var cachade på det komprometterade systemet och ger underlag för att bedöma omfattningen av en potentiell lateral förflyttning.

Den mest kraftfulla forensiska analysen kombinerar nätverks- och minnesbevis. Minnet visar vilka processer som kördes och vilken kod de innehöll; nätverksforensik visar vad processerna kommunicerade med. Om en process som syns i Volatilitys minnesanalys har en nätverksanslutning som syns i PCAP, ansluter till en domän som flaggats i DNS-loggar och motsvarar en extern IP-adress i NetFlow, ger denna samstämmighet starka belägg för att aktiviteten var skadlig och stöder en komplett beskrivning av angreppet.

Korrekta tidsstämplar är avgörande för att korrelera forensiska bevis från nätverk och endpoints. Om en servers klocka går 15 minuter fel jämfört med brandväggens klocka leder korrelation av händelser utifrån tidsstämplar till felaktiga tidslinjer. Nätverksforensiska bevis är bara så tillförlitliga som tidssynkroniseringen hos de enheter som genererar loggarna. Organisationer måste konfigurera enhetlig NTP (Network Time Protocol) på alla säkerhetsrelevanta enheter och dokumentera kända tidsskillnader som upptäcks under en utredning.

De flesta moderna C2-kommunikationer använder TLS-kryptering, vilket hindrar nätverksforensiska analytiker från att läsa nyttolastens innehåll direkt. Även krypterad trafik avslöjar dock metadata: mönster i anslutningarnas tidpunkter (beaconing), avvikelser i certifikat (självsignerade certifikat från angripares infrastruktur och CN-fält som inte stämmer), JA3-fingeravtryck (TLS-klientfingeravtryck som kan identifiera specifika familjer av skadlig kod oavsett destination) och ovanliga egenskaper i TLS-handskakningen. Verktyg som Zeek extraherar automatiskt JA3-fingeravtryck från TLS-anslutningar, vilket möjliggör upptäckt av känd skadlig kod utan att trafiken dekrypteras.

I den här lektionen har du lärt dig att: paketinspelningar och NetFlow ger kompletterande nätverksbevis — PCAP visar hela innehållet medan NetFlow visar metadata i stor skala, C2-beaconing framträder som regelbundna periodiska anslutningar som kan upptäckas genom statistisk analys av anslutningarnas tidsmönster och Volatility Framework analyserar RAM-dumpar för att upptäcka processinjektering, extrahera nätverksanslutningar och identifiera skadlig kod som döljer sig i legitima processer. Grattis till att du har slutfört forensikmodulerna — härnäst väntar riskhantering och säkerhetsramverk.