جرم شناسی دیجیتال و تحلیل حملات سایبری

راهنمای جرم‌شناسی دیجیتال پس از حمله: حفظ شواهد، تحلیل و گزارش

جرم‌شناسی دیجیتال بعد از حادثه امنیتی به این پرسش‌ها جواب می‌دهد: مهاجم کی و از کجا وارد شد، چه کرد، به کدام داده رسید و آیا هنوز راهی برای برگشتن دارد. جواب‌ها در لاگ‌ها، زمان‌های فایل‌سیستم و حافظه سرور است و بخش زیادی از آن‌ها با اولین پاک‌سازی یا ری‌استارت از بین می‌رود. به همین دلیل کار فارنزیک پیش از پاک‌سازی شروع می‌شود. نکته‌های زیر برای مدیر فنی یا مدیر سازمانی است که باید تصمیم بگیرد بعد از حمله اول چه کند.

ترتیب جمع‌آوری شواهد: اول حافظه، بعد دیسک و لاگ

شواهد به ترتیب ماندگاری جمع‌آوری می‌شوند. محتوای RAM، یعنی پردازش‌های در حال اجرا، اتصال‌های شبکه فعال و کدی که فقط در حافظه اجرا شده، با خاموش یا ری‌استارت شدن سرور از بین می‌رود. پس اول ایمیج حافظه گرفته می‌شود، با LiME در لینوکس و WinPmem در ویندوز. بعد ایمیج بیت‌به‌بیت دیسک با dd، dc3dd یا FTK Imager تهیه می‌شود، یا Snapshot اگر سرور ماشین مجازی باشد. لاگ‌ها هم پیش از آنکه چرخش خودکار یا خود مهاجم آن‌ها را پاک کند جمع‌آوری می‌شوند.

برای هر ایمیج هش SHA-256 ثبت می‌شود و تحلیل فقط روی کپی انجام می‌شود. اگر بعداً پرسیده شود شواهد تغییر کرده یا نه، تطبیق هش جواب را می‌دهد. جدا کردن سرور از شبکه، بدون خاموش کردن آن، گسترش حمله را متوقف می‌کند و حافظه را هم دست‌نخورده نگه می‌دارد.

در تحلیل فارنزیک سرور دنبال چه می‌گردیم؟

در لینوکس، auth.log و journal ورودهای موفق و ناموفق، استفاده از sudo و ساخت کاربر را نشان می‌دهند و لاگ وب‌سرور درخواست‌هایی را که به وب‌شل یا افزونه آسیب‌پذیر رسیده‌اند. در ویندوز Event Log همین نقش را دارد و ورودها، ساخت حساب و سرویس‌های تازه را ثبت می‌کند. مهاجم معمولاً برای برگشتن راهی باز می‌گذارد، پس cron، سرویس‌های systemd، کلیدهای SSH و Scheduled Taskها بررسی می‌شوند. در حافظه، Volatility 3 پردازش‌ها، اتصال‌های شبکه و کد تزریق‌شده را نشان می‌دهد، از جمله بدافزار بدون فایل که روی دیسک اثری ندارد.

Plaso زمان‌های فایل‌سیستم و لاگ‌ها را در یک خط زمانی کنار هم می‌گذارد. اگر چند سرور با منطقه‌های زمانی مختلف درگیرند، زمان‌ها پیش از مقایسه با هم تطبیق داده می‌شوند. بازه حضور مهاجم در سیستم از همین خط زمانی به دست می‌آید. نشانه‌های نفوذ (IOC) مثل IP، هش فایل و دامنه هم استخراج می‌شوند و سرورهای دیگر برای همان نشانه‌ها بررسی می‌شوند.

خطاهایی که شواهد را از بین می‌برند

رایج‌ترین خطا، پاک‌سازی عجولانه برای برگرداندن سایت یا سرویس است. آنتی‌ویروس یا اسکریپت پاک‌سازی فایل‌ها را حذف یا قرنطینه می‌کند و زمان دسترسی هزاران فایل را تغییر می‌دهد، و بعد از آن خط زمانی قابل اعتماد نیست. ری‌استارت سرور برای امتحان کردن، حافظه را پاک می‌کند. بازگرداندن بکاپ روی همان دیسک هم فایل‌های حذف‌شده‌ای را که هنوز قابل بازیابی بودند بازنویسی می‌کند. رمزها باید از دستگاه سالم عوض شوند، چون تغییر آن‌ها روی سیستم آلوده ممکن است رمز تازه را هم به دست مهاجم برساند.

فشار برای برگشتن سریع سرویس قابل فهم است، اما سرویسی که بدون شناخت مسیر نفوذ برگردد، معمولاً از همان مسیر دوباره آلوده می‌شود. اگر بازگشت فوری ناگزیر است، دست‌کم پیش از پاک‌سازی از حافظه و دیسک ایمیج بگیرید. پاک‌سازی بعد از تحلیل در رفع هک و مالور انجام می‌شود و اگر فایل‌ها رمز شده باشند، بازگرداندن داده در بازیابی از باج‌افزار.

برای جدا کردن سرور از شبکه، کابل شبکه یا اینترفیس مجازی آن را قطع کنید و سرور را روشن بگذارید. اگر نمی‌دانید این کار را بدون خاموش کردن سرور چطور انجام دهید، پیش از هر اقدام تماس بگیرید.

جرم‌شناسی دیجیتال و مسیر قانونی

اگر حادثه با سرقت یا افشای اطلاعات، اخاذی، کلاهبرداری یا دسترسی غیرمجاز همراه است، ممکن است بخواهید نزد پلیس فتا شکایت کنید. در این صورت بهتر است پیش از پاک‌سازی درباره حفظ شواهد با آن هماهنگ شوید. رسیدگی به جرایم رایانه‌ای با مراجع قضایی است و ممکن است کارشناس رسمی تعیین شود. گزارش فنی ما می‌تواند همراه شکایت ارائه شود، اما ارزیابی و پذیرش آن با مرجع قضایی است و جای مشاوره حقوقی یا نظر کارشناس رسمی دادگستری را نمی‌گیرد.

زنجیره نگهداری شواهد به همین دلیل از روز اول ثبت می‌شود: چه کسی، چه زمانی و با چه روشی هر ایمیج را تهیه کرد، هش آن چه بود، کجا نگهداری شد و به چه کسی تحویل داده شد. شواهدی که این سوابق را ندارند، ارزش کمتری دارند.

زمان تحلیل و اطلاعاتی که پیش از تماس آماده می‌کنید

زمان تحلیل به تعداد سرورها، حجم داده و لاگ‌ها و پیچیدگی حمله بستگی دارد. سروری که لاگ‌هایش چرخیده یا پاک شده، تحلیل را کندتر و نتیجه را محدودتر می‌کند. یافته‌های فوری، مثل مسیر نفوذی که هنوز باز است، پیش از گزارش نهایی اطلاع داده می‌شوند تا بسته شوند.

برای شروع، نوع سرور، زمان مشاهده حادثه، نشانه‌ها و کارهایی را که تاکنون انجام شده بنویسید. این خدمت روی سرورها و زیرساخت سازمانی متمرکز است و فارنزیک گوشی موبایل و دستگاه‌های شخصی را در بر نمی‌گیرد. یافته‌ها پس از بسته شدن پرونده به اقدام اصلاحی در امن‌سازی سرور و بازبینی دسترسی‌ها تبدیل می‌شوند.