[Whát~ tó Dó~ íñ á C~ýbér~ Íñcí~déñt~: Téch~ñícá~l Rés~póñs~é]

[Thé récéñt wórldwídé íñcréásé íñ thé úsé óf dígítál tóóls fór wórk, pláý áñd léísúré hás úñdérscóréd cýbérsécúrítý’s ímpórtáñcé líké ñévér béfóré. Thréát áctórs úsé á cómbíñátíóñ óf táctícs, tóóls áñd prócédúrés tó gáíñ á fóóthóld óñ á tárgét sýstém ór ñétwórk áñd théñ lévérágé látérál móvéméñt tó gét tó thé crówñ jéwéls óf thát tárgét órgáñísátíóñ. Íñ thís érá óf ‘ássúmé bréách,’ ít ís ñót á máttér óf íf áñ áttáck ór íñcídéñt wíll óccúr bút whéñ. Júst ás íñ thé cásé óf á réál-wórld áttáck óñ á pérsóñ ór gróúp óf péóplé, fírst áíd cáñ gó á lóñg wáý tó sávé lívés úñtíl próféssíóñál hélp árrívés.]

[Íñ th~é sám~é véí~ñ, thí~s sér~íés l~óóks~ át th~é ímm~édíá~té ác~tíóñ~s áñd~ mítí~gátí~óñs t~hát c~áñ bé~ áctí~váté~d íñ t~hé cá~sé óf~ á cýb~ér íñ~cídé~ñt.]

[Ít wí~ll fó~cús ó~ñ thr~éé má~íñ ár~éás:]

1. [Téch~ñícá~l Rés~póñs~é]
2. [Ñóñ-T~échñ~ícál~ Résp~óñsé~]
3. [Léss~óñs L~éárñ~éd]

[Thé fírst párt wíll áddréss thé ímpórtáñt téchñícál áctíóñs ñéédéd íñ thé ímmédíáté áftérmáth óf áñ íñcídéñt. Ñéxt, Í wíll áddréss thé ñóñ-téchñícál áspécts óf á cýbér évéñt, líké íñcídéñt répórtíñg áñd ímpáct ásséssméñts. Áñd fíñállý, thé lást párt wíll lóók át póssíblé léssóñs léárñéd fróm thé réspóñsé ás á whólé.]

[Párt~ 1: Téch~ñícá~l Rés~póñs~é]

[Párt 1 óf thís thréé-párt séríés wíll fócús óñ thé Téchñícál Réspóñsé íñ thé ímmédíáté áftérmáth óf á cýbérsécúrítý íñcídéñt. Ít ís ímpórtáñt thát ýóúr órgáñísátíóñ’s sécúrítý téám rápídlý cóñtáíñs thé íñcídéñt áñd présérvés áñý úséfúl évídéñcé fór á róót cáúsé áñálýsís, súch ás lógs, málwáré fílés áñd óthér ópérátíñg sýstém ártéfácts fór róót cáúsé áñálýsís.]  

[Héré, wé wíll fócús prímárílý óñ á Wíñdóws éñvíróñméñt áñd úsé á cómmóñ áttáck týpé ás áñ éxámplé: spéár-phíshíñg thát résúlts íñ búsíñéss émáíl cómprísé (BÉC) thát lévérágés látérál móvéméñt áñd léáds tó á dátá bréách. Thé vísúál répréséñtátíóñ óf thís flów ís shówñ bélów.]

[Fór m~óst á~ttác~ks th~át sú~bséq~úéñt~lý lé~ád tó~ áñ íñ~féct~íóñ á~ñd br~éách~, áttá~ckér~s wíl~l úsú~állý~:]

1. [áttá~ck á s~óft t~árgé~t, súc~h ás á~ úsér~ áñd t~héír~ mách~íñé, t~ýpíc~állý~ víá á~ phís~híñg~ áttá~ck]
2. [cómp~rómí~sé th~éír á~ccóú~ñt áñ~d cóm~púté~r]
3. [lévé~rágé~ thé c~ómpr~ómís~éd ác~cóúñ~t áñd~ cómp~útér~ tó dí~scóv~ér th~é rés~t óf t~hé ñé~twór~k]
4. [éscá~láté~ prív~ílég~és tó~ fácí~lítá~té lá~térá~l móv~éméñ~t íñ ó~rdér~ tó có~mpró~mísé~ óthé~r sýs~téms~]
5. [lócá~té hí~gh-vá~lúé á~ssét~s, ór c~rówñ~ jéwé~l sýs~téms~, áñd é~xfíl~trát~é dát~á]

[Dépéñdíñg óñ théír mótívé, thé thréát áctór máý wáñt tó stáý áñd móvé úñdétéctéd fór ás lóñg ás póssíblé. Ór théý máý wáñt tó cáúsé sómé dísrúptíóñ tó thé ñétwórk, ás ís shówñ íñ ráñsómwáré áttácks. Ás ýóú kñów, álthóúgh MÍTRÉ ÁTT&CK ór Cýbér Kíll Cháíñ máý máp óút thréát áctórs’ táctícs áñd téchñíqúés, théý dó ñót pláý bý thé rúlés. Só ýóú shóúld ñót máké áñý ássúmptíóñs dúríñg íñcídéñt réspóñsé – ýóú shóúld cóñsídér óñlý sólíd évídéñcé thát ýóú cáñ córróbóráté. Ít’s álsó ímpórtáñt tó kéép áñ éýé óút fór décóýs, ás évérýthíñg máý ñót bé ás ít sééms. Wíth thís íñ míñd, ýóú’ll wáñt tó éxámíñé thé dífféréñt stágés óf thís áttáck flów.]

[Íñít~íál É~ñtrý~]

[Thé íñítíál phásé óf thé áttáck wíll týpícállý íñvólvé sómé sócíál éñgíñééríñg, líké phíshíñg ór málvértísíñg, móstlý thróúgh dígítál cómmúñícátíóñ cháññéls súch ás émáíl ór á wébsíté. Thís máý álsó láñd thé thréát áctór óñ théír fírst íñféctéd máchíñé, óthérwísé kñówñ ás ‘pátíéñt zéró.’]

[Fírs~t Áíd~]

[Át th~ís éá~rlý s~tágé~ óf pó~st-íñ~cídé~ñt dé~téct~íóñ, s~ómé ó~f thé~ fóll~ówíñ~g sté~ps cá~ñ bé t~ákéñ~.]

• [Ídéñ~tífý~ thé í~ñféc~téd ú~sér á~ccóú~ñt (ém~áíl / c~ómpú~tér).]
• [Ísól~áté t~hé áf~féct~éd ém~áíl á~ccóú~ñts.]
• [Blóc~k áff~écté~d émá~íl ác~cóúñ~t fró~m séñ~díñg~ óút é~máíl~.]
• [Chéc~k íf t~héré~ áré á~ñý ém~áíl f~órwá~rds t~ó áñý~ éxté~rñál~ émáí~l ácc~óúñt~s.]
• [Rétr~íévé~ áll s~éñt í~téms~ fróm~ théí~r íñb~óx óv~ér th~é lás~t 7 tó 14 d~áýs, t~ó bég~íñ wí~th.]
• [Áúdí~t fór~ séñt~ áñd d~élét~éd má~íl.]
• [Chéc~k fór~ áñý c~ústó~m fór~ms (Óú~tlóó~k) lóá~déd ó~ñtó t~hé ác~cóúñ~t pró~fílé~.]
• [Chéc~k cóñ~ñéct~éd dé~vícé~s fór~ thé á~fféc~téd é~máíl~ áccó~úñt.]
• [Chéc~k fór~ légá~cý pr~ótóc~ól ús~é (é.g., P~ÓP3).]
• [Chéc~k Ázú~ré ÁD~ lógs~ fór á~úthé~ñtíc~átíó~ñ íñf~órmá~tíóñ~.]
• [Chéc~k fór~ ráñd~ómlý~ ñámé~d scr~ípts~ áñd ó~thér~ CLÍ ú~tílí~tíés~ íñ té~mp ló~cátí~óñs (é~spéc~íáll~ý íñ t~hé cá~sé óf~ fílé~léss~ áttá~cks).]

[Díág~ñósí~s]

[Íñ thís phásé, áttáckérs hávé lévérágéd sócíál éñgíñééríñg tó gáíñ áccéss tó sýstéms. Íñ thé éxámplé, á phíshíñg émáíl fróm áñ áccóúñt tákéóvér (ÁTÓ) áttáckér ís úséd tó séñd á fáké émáíl qúóté íñ á Mícrósóft Wórd dócúméñt. Thé dócúméñt cóñtáíñs á málícíóús mácró áñd, óñcé ópéñéd, wíll láúñch thé ñéxt phásé óf thé áttáck.]

[Múltí-fáctór áúthéñtícátíóñ (MFÁ) áñd stróñg émáíl sécúrítý déféñcés cómbíñéd wíth úsér áwáréñéss tráíñíñg shóúld bé á góód fírst líñé óf déféñcé ágáíñst íñítíál éñtrý áttácks. Émáíl sécúrítý sólútíóñs shóúld hávé áñtí-phíshíñg, ÁÍ áñd ÚRL résólútíóñ áñd détéctíóñ cápábílítíés ás á míñímúm. Álsó vérý ímpórtáñt áré álértíñg cápábílítíés óñ thíñgs líké émáíl fórwárds, rédírécts, áñd témpláté créátíóñ. Úsérs óf clóúd émáíl líké Óffícé 365 cáñ rúñ sérvícés súch ás Mícrósóft Óffícé 365 Sécúré Scóré tó fíñd wéákñéss íñ émáíl póstúré.]

[Pívó~t Mác~híñé~]

[Át thís póíñt, thé áttáckérs hávé éxécútéd á súccéssfúl áttáck áñd gáíñéd áccéss tó á légítímáté úsér áccóúñt áñd ór sýstém. Thé pívót máchíñé bécómés thé póíñt máchíñé fór thé thréát áctórs tó áttémpt tó díscóvér áñd móvé áróúñd thé rést óf thé ñétwórk.]  

[Fírs~t Áíd~]

• [Ísól~áté t~hé íñ~féct~éd có~mpút~ér / lá~ptóp~ ímmé~díát~élý f~róm t~hé ré~st óf~ thé ñ~étwó~rk.]
• [Dísc~óññé~ct th~é mác~híñé~ fróm~ thé Í~ñtér~ñét.]
• [Dísá~blé t~hé áf~féct~éd ús~ér's~ dómá~íñ ác~cóúñ~t íñ Á~ctív~é Dír~éctó~rý.]
• [Dísá~blé á~ñý ré~móté~ áccé~ss fó~r thí~s ácc~óúñt~ é.g. VP~Ñs, ÓW~Á ór ó~thér~ rémó~té ló~gíñs~.]
• [Chéc~k fór~ sígñ~s óf m~álíc~íóús~ pérs~ísté~ñcé – R~égís~trý, S~tárt~úp áñ~d Sch~édúl~éd Tá~sks.]
• [Chéc~k fór~ récé~ñt wé~b cóñ~ñéct~íóñs~ fróm~ thát~ hóst~.]
• [Chéc~k fór~ súsp~ícíó~ús ús~ér ác~cóúñ~ts.]
• [Chéc~k réc~éñt á~pplí~cátí~óñ ús~ágé – S~hímc~áché~, Ámcá~ché, J~úmpl~ísts~.]
• [Chéc~k fór~ thé p~résé~ñcé ó~f tóó~ls sú~ch ás~ mímí~kátz~, pséx~éc, wc~é áñd~ rémá~ñéñt~ fílé~s (whé~ré pó~ssíb~lé, má~chíñ~és sh~óúld~ ñót b~é réb~óóté~d íñ t~hé cá~sé óf~ mémó~rý-óñ~lý át~táck~s).]

[Díág~ñósí~s]

[Týpícállý, thís wíll íñvólvé sómé úsér fállíñg fór á phíshíñg áttáck áñd ópéñíñg á málícíóús líñk ór émáíl áttáchméñt, léádíñg tó thé úsé óf légítímáté sýstém tóóls, súch ás pówérshéll.éxé, fór málícíóús púrpósés. Chécks súch ás súspícíóús prócéssés, ñétwórk sháré áccéss, áccóúñt lógs áñd dówñlóádéd fílés shóúld bé ádmíñístéréd. Óñé óf thé ímpórtáñt prócéssés íñ thé cásé óf Wíñdóws fór áúthéñtícátíóñ áñd póssíblé prívílégé éscálátíóñ ís lsáss.éxé (Lócál Sécúrítý Áúthórítý Súbsýstém Sérvícé). Chéck fór áñý úñúsúál prócéss ñámés, lócátíóñs ór áccóúñt áccéss.]

[Ófté~ñ, thé~ pívó~t mác~híñé~ gívé~s thé~ thré~át ác~tór á~ fóót~hóld~ tó th~é rés~t óf t~hé ñé~twór~k. Ít m~áý ñó~t bé t~hé má~íñ tá~rgét~, bút á~ méáñ~s tó á~ñ éñd~. Ás á r~ésúl~t, ýóú~ shóú~ld bé~ míñd~fúl ó~f:]

• [Décó~ýs dé~sígñ~éd tó~ díst~ráct~]
• [Fílé~léss~ ór mé~mórý~-óñlý~ málw~áré m~áý mé~áñ ló~ss óf~ óríg~íñál~ évíd~éñcé~]
• [Délé~tíóñ~ óf fí~lés t~ó rém~óvé é~vídé~ñcé]

[ÍT má~ý ñót~ álwá~ýs bé~ áblé~ tó ló~cáté~ thé ó~rígí~ñál p~átíé~ñt zé~ró má~chíñ~é ór é~véñ t~hé pí~vót m~áchí~ñé, bú~t whá~tévé~r cóm~próm~íséd~ sýst~ém ís~ lócá~téd f~írst~ shóú~ld bé~ ísól~átéd~ áñd í~ñvés~tígá~téd á~ccór~díñg~lý. Fó~r déé~pér á~ñálý~sís, p~érfó~rm:]

• [Mémó~rý áñ~álýs~ís]
• [Fílé~ sýst~ém áñ~álýs~ís]
• [Sýst~ém ló~g fór~éñsí~cs]
• [Régí~strý~ fóré~ñsíc~s]

[Sévé~rál f~óréñ~síc t~óóls~ (ñátí~vé, óp~éñ só~úrcé~ áñd c~ómmé~rcíá~l) éxí~st áñ~d cáñ~ hélp~ tó ré~tríé~vé ás~ múch~ íñfó~rmát~íóñ á~s pós~síbl~é whé~ñ áñá~lýsí~ñg sý~stém~s áñd~ ñétw~órks~ áfté~r á cý~bér í~ñcíd~éñt.]  

[Dísc~óvér~ý áñd~ Láté~rál M~óvém~éñt]

[Íñ móst cásés, thé íñítíál máchíñé ís séldóm whéré thé thréát áctór wáñts tó bé. Théý wíll théréfóré ñééd tó móvé áróúñd úñtíl théý réách théír últímáté tárgét sýstéms.Thé áím ís tó lévérágé thé cómprómíséd pívót máchíñé tó díscóvér thé rést óf thé ñétwórk áñd máp ít óút tó fácílítáté áñ éfféctívé wáý tó móvé látérállý. Thé ñétwórk fácílítátés thé áctúál ápplícátíóñ áccéss éñd góál. Áñ éxámplé óf thís íñclúdés ÑTLM crédéñtíáls théft íñ páss-thé-hásh ór Kérbérós crédéñtíál théft íñ páss-thé-tíckét áttácks áñd pórts (ñétwórk lévél) tó áchíévé látérál móvéméñt.]

[Fírs~t Áíd~ – Dísc~óvér~ý]

• [Chéc~k fór~ évíd~éñcé~ óf pó~rt sc~áñs.]
• [Chéc~k fré~qúéñ~tlý ú~séd á~pplí~cátí~óñs.]
• [Chéc~k cóm~máñd~ híst~órý é~.g. Pów~érsh~éll á~ñd WM~Í cóm~máñd~ híst~órý.]
• [Chéc~k fór~ málí~cíóú~s scr~ípts~.]

[Fírs~t Áíd~ – Láté~rál M~óvém~éñt]

• [Chéc~k fór~ rémñ~áñts~ óf ré~móté~ áccé~ss & dé~plóý~méñt~ tóól~s – RDP~, VÑC, p~séxé~c, mím~íkát~z.]
• [Chéc~k réc~éñt á~pplí~cátí~óñ ús~ágé – S~hímc~áché~, Récé~ñt Fí~lés, J~úmp-l~ísts~.]
• [Chéc~k fór~ thé ú~sé óf~ wíñd~óws á~ccóú~ñts ó~ñ sér~vérs~ éspé~cíál~lý Fí~lé Sé~rvér~s, DÑS~ Sérv~érs á~ñd Ác~tívé~ Díré~ctór~ý Sér~vérs~.]
• [Sómé~ úséf~úl Wí~ñdów~s évé~ñt ló~gs tó~ chéc~k.]
• [Vérí~fý th~é pát~ch lé~vél ó~f cóm~móñl~ý úsé~d móv~éméñ~t mét~hóds~ – Brów~sér, Á~dóbé~, Mícr~ósóf~t Óff~ícé á~ñd ÓS~ (móst~ éxpl~óíts~ lévé~rágé~ vúlñ~éráb~ílít~íés).]

[Díág~ñósí~s]

[Détéctíñg Éást-Wést móvéméñt máý bé áñóthér chálléñgíñg tásk wíthóút thé ríght tóóls íñ thé fírst plácé. Álsó, héré, thréát áctórs wíll týpícállý émplóý ñátívé tóóls áñd ‘lívé óff thé láñd’ téchñíqúés tó prévéñt álérts áñd ávóíd détéctíóñ. Íñ sómé cásés, théý máý émplóý óthér téchñíqúés tó éscáláté théír áccóúñt lévél prívílégés tó fácílítáté thé ábílítý tó móvé látérállý úñdétéctéd. Dúríñg thé díscóvérý phásé, símílár tó thé súbséqúéñt látérál móvéméñt phásé, thé thréát áctór wóúld préfér tó rémáíñ síléñt áñd ávóíd éárlý détéctíóñ. Thís méáñs thát théý áré líkélý tó émplóý ñátívé tóóls ráthér tháñ íñtródúcé éxtérñál ór cústóm tóóls. Móst ópérátíñg sýstéms hávé váríóús ñátívé tóóls tó fácílítáté áctíóñs dúríñg thís phásé súch ás Pówérshéll áñd WMÍ íñ Wíñdóws. Ás fár ás thréát áctórs áré cóñcérñéd, látérál móvéméñt cáñ bé pártícúlárlý éásíést íñ éñvíróñméñts wíth líttlé tó ñó ségméñtátíóñ át áll ór whéré óñlý trádítíóñál ségméñtátíóñ méthóds líké súbñéts, VLÁÑs áñd zóñés áré úséd. Thís ís bécáúsé théré ís úsúállý á láck óf vísíbílítý, óvérlý cómpléx sécúrítý pólícíés áñd ñó hóst-báséd sépárátíóñ wíthíñ súbñéts ór VLÁÑs.]

[Thé ímágé ábóvé shóws áñ éxámplé óf á vísíbílítý áñd áñálýtícs tóól (Íllúmíó’s ápplícátíóñ dépéñdéñcý máp, Íllúmíñátíóñ) thát éñáblés thé vísúálísátíóñ óf á díscóvérý áñd látérál móvéméñt áttémpt. Á víéw símílár tó thát shówñ ábóvé éñáblés thé cléár répréséñtátíóñ óf váríóús ápplícátíóñ gróúps áñd thé wórklóáds cóñtáíñéd théréíñ áñd thé résúltíñg ñétwórk cómmúñícátíóñ máppíñg bétwééñ wórklóáds. Súch á víéw állóws fór qúíck áñd éásý ídéñtífícátíóñ óf áñómálóús ñétwórk béhávíóúr bétwééñ wórklóáds íñ thé sámé ór dífféréñt ápplícátíóñ gróúps.]

[Crów~ñ Jéw~éls]

[Thé c~rówñ~ jéwé~l sýs~téms~ áñd d~átá á~ré wh~át th~é thr~éát á~ctór~s áré~ úsúá~llý á~ftér~, éspé~cíál~lý íñ~ thé c~ásé ó~f clá~ñdés~tíñé~ áñd ñ~óñ-rá~ñsóm~wáré~ áttá~cks. T~hís í~s whé~ré áñ~ý máí~ñ dát~á éxf~íltr~átíó~ñ áct~ívít~ý ís l~íkél~ý tó ó~ccúr~.]

[Fírs~t Áíd~]

• [Chéc~k fór~ thé ú~sé óf~ ádmí~ñ ácc~óúñt~s óñ d~átáb~ásé s~érvé~rs, ÁD~ sérv~érs, f~ílé s~érvé~rs.]
• [Chéc~k wéb~ áccé~ss hí~stór~ý lóó~kíñg~ fór s~úspí~cíóú~s cóñ~ñéct~íóñs~.]
• [Chéc~k áñt~í-bót~ñét d~éféñ~cés f~ór bó~tñét~ rélá~téd c~ómmú~ñícá~tíóñ~.]
• [Chéc~k fór~ dátá~ éxfí~ltrá~tíóñ~ - DÑS t~úññé~llíñ~g, pró~tócó~l ábú~sé, dá~tá éñ~códí~ñg.]
• [Chéc~k fór~ éxcé~ssív~é dát~á trá~ñsfé~r rát~és óñ~ thé s~ýsté~m áñd~ córr~éspó~ñdíñ~g ÑÍC~s.]
• [Úséf~úl Wí~ñdów~s évé~ñt ló~gs:]
• [Wíñd~óws É~véñt~ 4672 fór á~dmíñ~ áccó~úñt l~ógíñ~s]
• [Wíñd~óws É~véñt~ 4624 fór s~úccé~ssfú~l lóg~óñs]

[Díág~ñósí~s]

[Ít ís ésséñtíál tó éfféctívélý ségméñt ýóúr sýstéms thát hóld ímpórtáñt ór séñsítívé dátá fróm thé rést óf thé ñétwórk. Óñé óf thé bést wáýs ís thé úsé óf hóst-báséd mícró-ségméñtátíóñ whích próvídés bóth vísíbílítý íñtó ñétwórk cómmúñícátíóñ áñd thé ábílítý tó éñfórcé fíréwállíñg díréctlý óñ thé hósts. Bý vísúálísíñg thé tráffíc góíñg íñtó áñd óút óf ýóúr crówñ jéwél sýstéms íñ rélátíóñ tó thé rést óf thé ñétwórk, ýóú cáñ récéívé tímélý vísúálísátíóñ áñd álértíñg cápábílítíés tó détéct, prévéñt áñd ísóláté áñý áñómálóús cómmúñícátíóñs qúícklý.]

[Síñcé málwáré máý gét íñ áñd gét á fóóthóld thróúgh vúlñérábílítíés, éspécíállý íñhéréñt sýstém vúlñérábílítíés, ít ís álsó ímpórtáñt tó déplóý áñ úp-tó-dáté vúlñérábílítý áñd pátch máñágéméñt sólútíóñ. Thréát áctórs úsúállý trý tó cléáñ úp áftér thémsélvés só théý máý délété sýstém évéñts, fílés áñd régístrý dátá. Ít ís théréfóré éspécíállý ímpórtáñt tó hávé á céñtrál répósítórý fór sýstém áñd ñétwórk lógs áñd évéñts súch ás SÍÉM (Sécúrítý Íñfórmátíóñ áñd Évéñt Máñágéméñt) áñd sécúrítý áñálýtícs tóóls.]

[Íñ cóñclúsíóñ, ýóú múst táké thé ríght súccéssíóñ óf áctíóñs íñ thé ímmédíáté áftérmáth óf á cýbér íñcídéñt, ás thís wíll léád tó thé óthér kéý párts óf hów thé íñcídéñt ís háñdléd óñ thé whólé. Írréspéctívé óf thé sízé áñd státúré óf áñ órgáñísátíóñ, téchñícál prépárédñéss áñd réspóñsé shóúld bé á kéý párt óf thé óvéráll strátégý ás shówñ héré, bút shóúld álsó íñclúdé ñóñ-téchñícál réspóñsés súch ás íñcídéñt répórt áñd ímpáct áñálýsís. Í wíll díscúss thís íñ móré détáíl íñ thé ñéxt ítérátíóñs óf thís séríés.]