חקירת Ransomware: 60 הדקות הראשונות

אימות האירוע

בדיקה מקצועית ל-חקירת Ransomware מתחילה בתנאי הצלחה ותנאי כישלון. מגדירים Case חיובי, Case שלילי, Case גבול ופעילות לגיטימית דומה. כך ניתן לזהות גם False Negative וגם False Positive.

בסביבה מורשית משתמשים בפעולה מינימלית שמוכיחה את הטענה בלי לגרום נזק. שומרים Input, Output, זמן וגרסה, ולאחר תיקון מבצעים Retest באותו תרחיש ובודקים גם Regression על פונקציות סמוכות.

Isolation ו-Containment

התגובה ל-חקירת Ransomware צריכה לצמצם סיכון בלי למחוק את הראיות שעדיין נדרשות. מתחילים בפעולה הפיכה וממוקדת, מאשרים בעלות וסמכות, ומתעדים זמן, מבצע ותוצאה.

תיקון ארוך טווח מטפל בשורש: הרשאות, תצורה, Validation, Telemetry, תהליך או הדרכה. לאחר היישום מבצעים Retest ומנטרים סימנים לחזרה, במקום להסתפק בסגירת Ticket.

Scoping משתמשים ו-Hosts

הנושא 'Scoping משתמשים ו-Hosts' הוא חלק מרכזי בעבודה על חקירת Ransomware. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את scope, isolation, identity containment, backup protection, volatile evidence, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

שמירת ראיות ו-Backups

בשלב זה מגדירים אילו ראיות דרושות כדי לענות על שאלת החקירה. עבור חקירת Ransomware, נקודות הבסיס הן מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה. לכל מקור מתעדים בעלים, טווח שמירה, אזור זמן, עיכוב קליטה ושדות שעלולים להיות חסרים.

איכות איסוף אינה נמדדת בכך שהלוג 'מגיע'. יש לבדוק Completeness, Latency, Parsing, Duplicate events וסנכרון זמן. בדיקת Canary או אירוע מעבדה ידוע מאפשרת לוודא שהפעולה הופיעה במקור, עברה את ה-Pipeline וניתנת לחיפוש בשדות הנכונים.

תקשורת והמשך החקירה

חקירה של חקירת Ransomware מתחילה בניסוח Hypothesis: איזו התנהגות מסבירה את הממצא, ואילו ראיות יאשרו או יפריכו אותה. לאחר מכן מרחיבים חלון זמן, מאמתים את הישויות ומחפשים רצף לפני ואחרי האירוע.

קורלציה טובה משלבת לפחות שני סוגי מידע מתוך scope, isolation, identity containment, backup protection, volatile evidence, communications. לכל ממצא מציינים מה הוא מוכיח, מה הוא אינו מוכיח ומהו הצעד הבא. אם הנתונים אינם מספיקים, מסמנים Unknown ולא הופכים היעדר ראיה לראיה להיעדר.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: scope, isolation, identity containment, backup protection, volatile evidence, communications. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• scope: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• isolation: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• identity containment: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• backup protection: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• volatile evidence: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• communications: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא חקירת Ransomware.
2. רשמו את מקורות הנתונים והראיות הדרושים: scope, isolation, identity containment, backup protection.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא תרגיל Tabletop לדקות 0-15, 15-30 ו-30-60. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: מקור הראיה.
• ✓בדקו ותעדו: זמן איסוף ואזור זמן.
• ✓בדקו ותעדו: Hash ו-Chain of Custody.
• ✓בדקו ותעדו: כלי וגרסה.
• ✓בדקו ותעדו: פעולות תגובה שבוצעו.
• ✓בדקו ותעדו: Timeline והנחות עבודה.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• לשנות את המערכת לפני שימור ראיות.
• לא לתעד אזור זמן.
• לא לחשב Hash.
• לערבב עובדה והשערה.
• לא לתעד מי החזיק בראיה.
• להעדיף שלמות תאורטית על בלימת נזק מיידי.

סיכום ו-CTA

חקירת Ransomware: 60 הדקות הראשונות הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• NIST SP 800-61 Rev. 3 — Incident Response
• NIST SP 800-86 — Integrating Forensic Techniques
• CISA — Incident Response resources
• YARA Documentation
• Microsoft Learn — Respond to compromised email account