Zaman Çizelgesi Analizi ve Kalıntıların İlişkilendirilmesi

Saldırganlar zaman içinde ortamlar arasında ilerler; ilk erişim, kalıcılık, yanal hareket ve veri dışarı çıkarma günler veya haftalar sürebilir. Zaman çizelgesi analizi, saldırı dizisini yeniden oluşturmak ve sistemde kalma süresini belirlemek için farklı kaynaklardaki izleri ilişkilendirir.

Temel zaman kaynakları: NTFS MAC zamanları (MFT girdileri), Windows Olay Günlüğü zaman damgaları, Prefetch çalıştırma zaman damgaları, kayıt defterinin son yazılma zamanları, tarayıcı geçmişi zaman damgaları ve $UsnJrnl değişiklik günlüğü girdileri. Her birinin hassasiyeti ve değiştirmeye dayanıklılığı farklıdır.

NTFS, her dosya için Değiştirilme (içerik değişti), Erişilme (son okuma) ve Oluşturulma zamanlarını, ayrıca ek zaman damgaları içeren ayrı bir $STANDARD_INFORMATION özniteliğini saklar. Saldırganlar MAC zamanlarını değiştirebilir (zaman damgası sahteciliği yapabilir); değiştirmeyi tespit etmek için her iki öznitelik kümesini karşılaştırın.

Başlıca Olay ID'leri: 4624 (başarılı oturum açma), 4625 (başarısız oturum açma), 4648 (açıkça belirtilen kimlik bilgileri), 4688 (komut satırıyla işlem oluşturma), 4698 (zamanlanmış görev oluşturma), 7045 (yeni hizmet yükleme), 4720 (kullanıcı hesabı oluşturma). Bunları olay zaman aralığı çevresinde filtreleyin.

Windows Prefetch, uygulama çalıştırma zaman damgalarını ve başvurulan dosyaları kaydeder. C:\Windows\Prefetch\ konumunda bulunan her .pf dosyası, bir programın son 8 çalıştırılma zamanını içerir. Prefetch dosyaları uygulama silindikten sonra da varlığını sürdürür; bu da silinmiş olsa bile bir programın çalıştırıldığını kanıtlar.

log2timeline (plaso), onlarca yapıt türünden zaman damgalarını tek bir üst zaman çizelgesinde birleştirir. Belirli zaman aralıklarına ve yapıt türlerine odaklanmak için psort.py ile filtreleyin. Ortaya çıkan CSV, analiz için zaman çizelgesi araçlarına veya elektronik tablolara aktarılabilir.

Şunları çapraz olarak karşılaştırın: 4688 Olay ID'si (işlem oluşturma) ile Prefetch çalıştırmasını, kayıt defterinde zamanlanmış görev XML'inin oluşturulması ile 7045 olayını, güvenlik günlüğündeki yanal hareket zaman damgaları ile ağ yakalamalarındaki SMB trafiğini. Kaynaklar arasındaki tutarlı zaman damgaları güveni artırır.

Sistem zaman çizelgesini temel çizgilerle karşılaştırın. Kullanıcı profili dizinlerinde yürütülebilir dosyaların oluşturulması, kayıt defterindeki Run anahtarlarının alışılmadık saatlerde değiştirilmesi ve tarayıcı olmayan işlemlerden dışarı giden bağlantılar, temiz bir zaman çizelgesinde öne çıkan anormalliklerdir.

İşlem çalışmaya başlama zamanlarını doğrulamak için Volatility işlem başlangıç zamanlarını (windows.pslist create_time değerini gösterir) Olay Günlüğü 4688 girdileriyle ilişkilendirin; ayrıca ilk güvenlik ihlaline göre komuta ve kontrol iletişiminin ne zaman başladığını belirlemek için bunları ağ bağlantıları zaman çizelgesiyle karşılaştırın.

Resmi bir olay zaman çizelgesi şunları belgeler: T+0 (ilk erişim yöntemi ve zaman damgası), kanıt kaynağıyla birlikte saldırganın gerçekleştirdiği sonraki her eylem, yanal hareket sıçramaları, zaman damgalarıyla birlikte hazırlanan ve dışarı çıkarılan veriler ve sınırlama eylemlerinin zaman damgaları. Bu çizelge olay raporunun temelini oluşturur.

Saldırganlar, kötü amaçlı dosyaların MAC zamanlarını meşru sistem dosyalarıyla eşleşecek şekilde ayarlamak ve bunları toplu zaman çizelgesi analizinde gizlemek için zaman damgası değiştirme araçları kullanır. Zaman damgası sahteciliğini tespit etmek için $STANDARD_INFORMATION zaman damgalarını $FILE_NAME özniteliğinin zaman damgalarıyla karşılaştırın; değiştirme işleminden sonra bunlar genellikle farklı olur.

Çoğunlukla kalıcılık amacıyla kullanılan yeni bir hizmetin yüklendiğini hangi Windows Olay ID'si gösterir?

Zaman çizelgesi analizi, NTFS, Olay Günlükleri, Prefetch, kayıt defteri ve ağ yakalamalarındaki zaman damgalarını kronolojik bir saldırı anlatısında ilişkilendirir. Üst zaman çizelgeleri oluşturmak için plaso kullanılması ve yapıt kaynaklarının çapraz olarak karşılaştırılması, saldırganın sistemde kalma süresini ve eylem dizisini yüksek güvenilirlikle ortaya çıkarır.