การวิเคราะห์ลำดับเวลาและเชื่อมโยงหลักฐาน

ผู้โจมตีเคลื่อนผ่านสภาพแวดล้อมต่าง ๆ ตามเวลา การเข้าถึงครั้งแรก การคงอยู่ในระบบ การเคลื่อนที่ด้านข้าง และการนำข้อมูลออกอาจกินเวลาหลายวันหรือหลายสัปดาห์ การวิเคราะห์ไทม์ไลน์จะเชื่อมโยงร่องรอยจากแหล่งต่าง ๆ เพื่อสร้างลำดับการโจมตีขึ้นใหม่และระบุระยะเวลาที่ผู้โจมตีแฝงตัวอยู่ในระบบ

แหล่งข้อมูลเวลาสำคัญ ได้แก่ เวลา MAC ของ NTFS (รายการใน MFT) การประทับเวลาของบันทึกเหตุการณ์ Windows เวลาการทำงานของ Prefetch เวลาที่เขียนรีจิสทรีครั้งล่าสุด การประทับเวลาของประวัติเบราว์เซอร์ และรายการในบันทึกการเปลี่ยนแปลง $UsnJrnl แต่ละแหล่งมีความแม่นยำและความทนทานต่อการปลอมแปลงแตกต่างกัน

NTFS จัดเก็บเวลาที่แก้ไขเนื้อหา เวลาที่เข้าถึงครั้งล่าสุด และเวลาที่สร้างไฟล์แต่ละไฟล์ รวมถึงแอตทริบิวต์ $STANDARD_INFORMATION แยกต่างหากซึ่งมีการประทับเวลาเพิ่มเติม ผู้โจมตีสามารถแก้ไขเวลา MAC ได้ (การปลอมแปลงเวลา) โปรดเปรียบเทียบชุดแอตทริบิวต์ทั้งสองเพื่อหาการดัดแปลง

รหัสเหตุการณ์สำคัญ ได้แก่ 4624 (เข้าสู่ระบบสำเร็จ), 4625 (เข้าสู่ระบบไม่สำเร็จ), 4648 (ใช้ข้อมูลประจำตัวที่ระบุโดยตรง), 4688 (สร้างกระบวนการพร้อมบรรทัดคำสั่ง), 4698 (สร้างงานที่กำหนดเวลาไว้), 7045 (ติดตั้งบริการใหม่) และ 4720 (สร้างบัญชีผู้ใช้) โปรดกรองเหตุการณ์เหล่านี้ในช่วงเวลาเดียวกับเหตุการณ์ที่เกิดขึ้น

Prefetch ของ Windows จะบันทึกเวลาการทำงานของแอปพลิเคชันและไฟล์ที่แอปพลิเคชันอ้างอิง โดยอยู่ที่ C:\Windows\Prefetch\ ไฟล์ .pf แต่ละไฟล์มีเวลาการทำงาน 8 ครั้งล่าสุดของโปรแกรม ไฟล์ Prefetch ยังคงอยู่หลังจากลบแอปพลิเคชัน จึงเป็นหลักฐานยืนยันว่าโปรแกรมเคยทำงาน แม้จะถูกลบไปแล้ว

log2timeline (plaso) ดึงการประทับเวลาจากร่องรอยหลายสิบประเภทมารวมเป็นไทม์ไลน์รวมเดียว ใช้ psort.py เพื่อกรองให้เหลือเฉพาะช่วงเวลาและประเภทร่องรอยที่ต้องการ จากนั้นสามารถนำเข้า CSV ที่ได้ไปยังเครื่องมือไทม์ไลน์หรือสเปรดชีตเพื่อวิเคราะห์

โปรดตรวจสอบข้อมูลประกอบกันดังนี้: รหัสเหตุการณ์ 4688 (การสร้างกระบวนการ) กับเวลาการทำงานใน Prefetch การสร้าง XML ของงานที่กำหนดเวลาไว้ในรีจิสทรีกับเหตุการณ์ 7045 และการประทับเวลาของการเคลื่อนที่ด้านข้างในบันทึกความปลอดภัยกับทราฟฟิก SMB ในข้อมูลการจับแพ็กเก็ต การประทับเวลาที่สอดคล้องกันจากหลายแหล่งช่วยเพิ่มความเชื่อมั่น

เปรียบเทียบไทม์ไลน์ของระบบกับค่าพื้นฐาน การสร้างไฟล์ปฏิบัติการในไดเรกทอรีโพรไฟล์ผู้ใช้ การแก้ไขคีย์ Run ของรีจิสทรีในเวลาที่ผิดปกติ และการเชื่อมต่อขาออกจากกระบวนการที่ไม่ใช่เบราว์เซอร์ ล้วนเป็นความผิดปกติที่เห็นได้ชัดในไทม์ไลน์ที่สะอาด

เชื่อมโยงเวลาที่กระบวนการเริ่มทำงานจาก Volatility (windows.pslist แสดง create_time) กับรายการรหัสเหตุการณ์ 4688 เพื่อยืนยันการทำงานของกระบวนการ และเชื่อมโยงกับไทม์ไลน์การเชื่อมต่อเครือข่ายเพื่อระบุว่าการสื่อสารกับเซิร์ฟเวอร์ควบคุมเริ่มขึ้นเมื่อใดเมื่อเทียบกับการถูกบุกรุกครั้งแรก

ไทม์ไลน์เหตุการณ์อย่างเป็นทางการควรบันทึก: T+0 (วิธีการเข้าถึงครั้งแรกและการประทับเวลา) การกระทำของผู้โจมตีแต่ละรายการหลังจากนั้นพร้อมแหล่งหลักฐาน จุดเชื่อมต่อของการเคลื่อนที่ด้านข้าง ข้อมูลที่เตรียมไว้และนำออกพร้อมการประทับเวลา และการประทับเวลาของการดำเนินการควบคุมเหตุการณ์ เอกสารนี้จะเป็นโครงสร้างหลักของรายงานเหตุการณ์

ผู้โจมตีใช้เครื่องมือปลอมแปลงเวลาเพื่อตั้งเวลา MAC ของไฟล์อันตรายให้ตรงกับไฟล์ระบบที่ถูกต้องตามปกติ ซึ่งช่วยซ่อนไฟล์เหล่านั้นในการวิเคราะห์ไทม์ไลน์จำนวนมาก วิธีตรวจจับการปลอมแปลงเวลา: เปรียบเทียบการประทับเวลาของแอตทริบิวต์ $STANDARD_INFORMATION กับการประทับเวลาของแอตทริบิวต์ $FILE_NAME ซึ่งมักแตกต่างกันหลังจากถูกปลอมแปลง

รหัสเหตุการณ์ของ Windows ใดบ่งชี้ว่ามีการติดตั้งบริการใหม่ ซึ่งมักถูกใช้เพื่อคงอยู่ในระบบ

การวิเคราะห์ไทม์ไลน์เชื่อมโยงการประทับเวลาจาก NTFS บันทึกเหตุการณ์ Prefetch รีจิสทรี และข้อมูลการจับเครือข่ายเข้าด้วยกันเป็นเรื่องราวการโจมตีตามลำดับเวลา การใช้ plaso เพื่อสร้างไทม์ไลน์รวมและการตรวจสอบแหล่งร่องรอยข้ามกันช่วยเผยให้เห็นระยะเวลาที่ผู้โจมตีแฝงตัวและลำดับการกระทำได้อย่างมั่นใจ