איך בונים Timeline לחקירת אירוע סייבר

למה Timeline הוא לב החקירה

Timeline עונה על שאלות שלא ניתן לפתור באמצעות אירוע בודד: מה היה ה-Initial Access, איזה תהליך יצר את החיבור, האם ההתחברות קדמה להרצה, מה התרחש לאחר הבידוד, והאם אותו משתמש פעל בנכסים נוספים.

הוא גם חושף פערים. אם EDR מציג הרצת קובץ אך אין אירוע יצירת תהליך ב-Windows, ייתכן שה-Auditing אינו מופעל, שהלוג נמחק, שהאירוע נפל בסינון או שמזהי הזמן אינם מיושרים. הפער עצמו הוא ממצא.

בחקירה מורכבת כדאי להחזיק שני צירים: Master Timeline הכולל את האירועים המרכזיים, ו-Timeline מפורט לכל נכס או מקור. כך הדוח נשאר קריא בלי לאבד את הנתונים.

נרמול זמנים ומקורות

שמרו תמיד שני שדות: Original Timestamp כפי שהופיע במקור, ו-Normalized Timestamp ב-UTC. ציינו את אזור הזמן המקורי, סטיית השעון הידועה וזמן הקליטה ב-SIEM. אל תדרסו את הזמן המקורי, משום שהוא נדרש לביקורת ולפתרון סתירות.

הבחינו בין זמן אירוע לזמן Ingestion. Firewall עשוי לשלוח לוג באיחור, Agent יכול להיות Offline ולהעלות נתונים מאוחר יותר, ומוצר ענן עשוי לחשב Detection אחרי האירוע. סדר לפי זמן קליטה בלבד עלול להיות שגוי.

בדקו סנכרון NTP, הגדרות Daylight Saving, פורמטים עם/בלי Offset, מילישניות ושדות שמכילים זמן יצירה לעומת זמן עדכון. בעת שינוי זמן מערכת, תעדו את הסטייה ואל תנסו “לתקן” בשקט.

חיבור משתמשים, Hosts, IP ותהליכים

אירועים מקורות שונים מתחברים באמצעות Pivot Keys. זהות: UPN, SID, Object ID, Session ID. תחנה: hostname, Device ID, Agent ID, כתובת MAC. רשת: IP, NAT translation, port, protocol. תהליך: PID, Parent PID, Process GUID, hash ושורת פקודה.

PID לבדו אינו מזהה יציב לאורך זמן משום שמערכת ההפעלה יכולה למחזר אותו. ב-Windows, Process GUID של Sysmon או שילוב Host + PID + זמן מסייעים יותר. כתובת IP פנימית יכולה לעבור בין תחנות ב-DHCP, ולכן יש להצליב עם Lease או Telemetry נוספת.

בכל שורה הוסיפו שדה “Entity Link”: למה האירוע קשור לקודם. לדוגמה: “DNS query נוצרה על ידי PID 4120, שהוא child של powershell.exe מהשורה הקודמת”. קישור מפורש מונע מהקורא להניח קשר שלא הוכח.

הפרדה בין עובדה, פרשנות והשערה

עובדה: “בשעה 10:14:22 EDR תיעד powershell.exe עם Parent winword.exe.” פרשנות: “הרצף תואם אפשרות של הרצת קוד ממסמך.” השערה: “ייתכן שהמשתמש פתח קובץ Phishing.” ההפרדה קריטית כדי שהדוח לא יציג הנחה כאילו הייתה ראיה.

אפשר להוסיף עמודת Confidence: גבוה כאשר כמה מקורות בלתי תלויים תומכים; בינוני כאשר מקור אחד איכותי תומך; נמוך כאשר הנתון חלקי או תלוי בהשערה. רמת הביטחון אינה ציון מתמטי מחייב, אלא דרך לתקשר אי-ודאות.

MITRE ATT&CK ניתן להוסיף לאחר הבנת האירוע כדי לתאר טכניקות, אך אין להשתמש במיפוי כדי למלא פערים. העובדה שקיים PowerShell אינה מוכיחה Initial Access או Persistence.

זיהוי פערים וסתירות

חפשו חורים בזמנים, אירועים שמופיעים רק במקור אחד, כתובות שלא תואמות NAT, משתמשים בפורמטים שונים ותוצאות הפוכות. פער של חמש דקות לפני החיבור הראשון יכול להכיל את הפעולה החשובה ביותר.

כאשר שני מקורות מציגים זמנים שונים, בדקו Clock Skew, Time Zone, זמן כתיבה לעומת זמן קליטה, rounding ו-cache. שמרו את שתי הגרסאות וציינו איזו מהן שימשה לסדר ולמה.

בנו “רשימת חסרים”: לוגי Proxy לא נשמרו, Process Creation לא הופעל, ה-EDR היה Offline, או שאין גישה ל-Mailbox Audit. הרשימה מסייעת להבין את מגבלות המסקנה ולשפר Logging בהמשך.

הצגת Timeline בדוח

Timeline בדוח מנהלים צריך לכלול רק אירועים שמשנים את הבנת האירוע: גישה ראשונית, ביצוע, התמדה, תנועה רוחבית, גישה למידע, בלימה והתאוששות. נספח טכני יכול לכלול את הרשומות המלאות.

לכל שורה מומלץ להציג: UTC, זמן מקורי, מקור, ישות, אירוע, ראיה/מזהה, פרשנות ורמת ביטחון. השתמשו בשפה עקבית ובפעלים מדויקים: “נוצר”, “נחסם”, “נכשל”, “נצפה” — לא “נפרץ” בלי הוכחה.

צרפו Timeline מקוצר גם ל-Ticket כדי שהאנליסט הבא יוכל להמשיך בלי לקרוא את כל ההערות.

תרחיש: Windows, DNS, Firewall ו-EDR

Checklist מעשי

• ✓שמרתי זמן מקורי וזמן UTC.
• ✓הבחנתי בין Event Time ל-Ingestion Time.
• ✓תיעדתי מקור ושדה מזהה.
• ✓קישרתי ישויות באמצעות מזהים אמינים.
• ✓הפרדתי עובדה מפרשנות.
• ✓ציינתי פערים וסתירות.
• ✓הוספתי Confidence.
• ✓יצרתי Timeline מקוצר ונספח מפורט.

טעויות נפוצות

• למיין לפי זמן קליטה בלבד.
• להמיר זמן בלי לשמור את הערך המקורי.
• לקשר אירועים רק על בסיס IP דינמי.
• לכתוב השערה כאילו היא עובדה.
• להעמיס אלפי אירועים על Master Timeline בלי סינון.

סיכום ו-CTA

קחו תרחיש מעבדה אחד ובנו לו Timeline ידני מארבעה מקורות. לאחר מכן השוו אותו לתהליך החקירה במאמר הראשון ובדקו אילו שדות כדאי להוסיף ל-Playbook של הצוות. בקורס Cybersecurity & AI של HPI מיומנויות לוגים, רשתות ו-SIEM נלמדות כחלק מתרגול מעשי של חקירת אירועים.

שאלות ותשובות

מקורות

• NIST SP 800-92 — Guide to Computer Security Log Management
• NIST Log Management Project — SP 800-92 Rev. 1 planning work
• NIST SP 800-61 Rev. 3
• Microsoft Learn — Investigate Microsoft Sentinel incidents in depth
• MITRE ATT&CK — Enterprise Techniques