Kompromitācijas novērtējuma pārbaudes saraksts

1. Tvērums un sagatavošana

Novērtējuma mērķis, tvērums un laika posms ir rakstiski - Kuras sistēmas, kontus un vides pārbauda, cik tālu atpakaļ un kas paliek ārpus tvēruma.
Ir rakstisks pilnvarojums piekļūt sistēmām un datiem - Arī darbinieku e-pastam un žurnāliem - personas datu apstrādei vajadzīgs pamats un nolūks.
Saziņa par novērtējumu notiek kanālā ārpus pārbaudāmās vides - Ja uzbrucējs lasa e-pastu, ziņa par pārbaudi viņu brīdina pirms laika.
Pierādījumu vākšanas un glabāšanas kārtība ir noteikta iepriekš - Kas vāc, kur glabā, kā fiksē kontrolsummas un kurš piekļūst - lai atrasto var izmantot arī vēlāk.
Ir zināms, kas notiek, ja tiek atrasta aktīva ielaušanās - Kurš lemj par pāreju uz incidentu reaģēšanu un kurš drīkst izolēt sistēmas.

2. Datu avoti un redzamība

Ir saraksts, no kurām sistēmām žurnāli ir pieejami un no kurām nav - Robs žurnālos ir arī robs secinājumā - tas jānosauc jau sākumā.
Žurnālu glabāšanas laiks sedz visu pārbaudāmo periodu - Ielaušanās bieži sākas mēnešus pirms atklāšanas. Septiņu dienu žurnāls to neredz.
Sistēmu pulksteņi ir sinhronizēti, un laika josla ir zināma - Bez tā notikumu secību starp sistēmām nevar salikt.
Ir zināms, cik galiekārtu un serveru sedz uzraudzības aģents - Iekārtas bez aģenta ir tieši tās, kur uzbrucējs var palikt nepamanīts.
Pārbaudīts, vai žurnāli nav dzēsti vai apturēti - Žurnāla tīrīšana, apturēts audita serviss vai pēkšņs pārtraukums ir pazīme pats par sevi.

3. Identitātes un piekļuve

Pārskatīti visi priviliģētie konti un to izmaiņas periodā - Jauni administratori, pievienošana priviliģētām grupām un tiesības, kuru izcelsmi neviens nevar paskaidrot.
Pārbaudītas MFA izmaiņas - jaunas ierīces, atiestatīšana, izņēmumi - Uzbrucējs pievieno savu autentifikatoru, lai saglabātu piekļuvi arī pēc paroles maiņas.
Pārbaudīts, vai neaktīvi vai bijušo darbinieku konti nav lietoti - Konts, kas mēnešiem bija kluss un pēkšņi piesakās, ir viena no stiprākajām pazīmēm.
Servisa konti netiek lietoti interaktīvai pieteikšanās - Servisa konts ar pieteikšanos darbstacijā vai caur attālināto darbvirsmu nav paredzēta uzvedība.
Pārbaudītas pieteikšanās no neparastām vietām un laikiem - Divas valstis vienā stundā, pieteikšanās naktī vai no hostinga adresēm.
Pārbaudīti atkārtoti neizdevušies pieteikšanās mēģinājumi - Daudzi konti ar vienu paroli no vienas adreses vai viens konts no daudzām adresēm.
Pārbaudītas domēna kontroliera anomālijas - Neparasti ilgas biļetes, replikācijas pieprasījumi no ne-kontroliera un izmaiņas grupu politikās.

4. Galiekārtas un serveri

Pārskatīti automātiskās palaišanas punkti - Servisi, plānotie uzdevumi, palaišanas atslēgas, startēšanas mapes, cron, systemd taimeri un launchd.
Pārbaudīti neparakstīti izpildfaili pagaidu un lietotāju mapēs - Programmas, kas startē no lejupielāžu, pagaidu vai lietotāja profila mapēm, ir biežākā vieta ļaunatūrai.
Pārbaudīta iebūvēto sistēmas rīku neparasta lietošana - Komandrinda ar kodētiem parametriem, attālināta izpilde un rīki, kurus lietotājs parasti nesauc.
Pārbaudīts, vai drošības rīki nav izslēgti vai ar izņēmumiem - Apturēts antivīruss, jauni izņēmumu ceļi vai atinstalēts aģents.
Tīmekļa serveros pārbaudīti faili, kas nav no izvietošanas - Jauni skripti publiskajā mapē ir tipiska vieta pastāvīgai piekļuvei caur pārlūku.
Kritiskajām sistēmām veikta atmiņas un procesu pārbaude - Daļa ļaunatūras diskā neparādās vispār - tā dzīvo tikai atmiņā.

5. Tīkls

Meklēti regulāri izejoši savienojumi ar vienu un to pašu adresi - Vienmērīgs ritms (piemēram, ik 60 sekundes) ir vadības kanāla pazīme.
Pārbaudīti DNS vaicājumi uz retiem, jauniem vai garos nosaukumos - Nesen reģistrēti domēni un neparasti gari apakšdomēni var nest datus vai komandas.
Pārbaudīti neparasti lieli izejošo datu apjomi - Īpaši naktī, uz mākoņkrātuvēm vai adresēm, ar kurām organizācija nestrādā.
Pārbaudīti savienojumi starp darbstacijām - Attālinātā darbvirsma, failu koplietošana vai attālinātā vadība starp parastām darbstacijām nav ikdienas uzvedība.
Pārskatītas VPN un attālinātās piekļuves sesijas - Sesijas no neparastām valstīm, vienlaicīgas sesijas un pieslēgumi ārpus darba laika.

6. Mākonis un e-pasts

Pārskatītas administratīvās darbības mākoņa vidē - Jaunas piekļuves atslēgas, lomu piešķiršana un darbības no nezināmām adresēm.
Pārbaudīts, vai mākoņa auditēšana nav izslēgta vai mainīta - Apturēta žurnālu plūsma ir viena no pirmajām uzbrucēja darbībām.
Pārbaudītas publiski pieejamas krātuves un koplietojumi - Arī saites "ikviens ar saiti", kas izveidotas pārbaudāmajā periodā.
Pārbaudīti pastkastu pārsūtīšanas noteikumi un deleģējumi - Noteikums, kas pārsūta vai slēpj vēstules, ļauj uzbrucējam lasīt sarakstu bez pieteikšanās.
Pārskatītas trešo pušu lietotnes ar piekļuvi kontiem - Lietotnes atļauja pārdzīvo paroles maiņu un MFA - tā ir jāatsauc atsevišķi.

7. Ārējā virsma un piegādātāji

Internetā redzamie servisi salīdzināti ar zināmo aktīvu sarakstu - Serviss, par kuru neviens nezina, ir arī serviss, kuru neviens neatjaunina.
Pārbaudīts, vai malas iekārtās nav aktīvi izmantotu ievainojamību - VPN, ugunsmūri un e-pasta vārtejas - ja ielāps uzlikts vēlu, jāpārbauda, vai pa to jau nav ienākts.
Pārbaudīts, vai organizācijas konti nav noplūdušo datu kopās - Noplūdusi parole bez MFA ir gatava piekļuve.
Pārskatīti piegādātāju piekļuves ceļi un to lietojums - Attālinātās vadības rīki un piegādātāju konti ir bieža ieeja, kas neparādās pašu žurnālos.
Koda repozitoriji pārbaudīti uz atklātiem noslēpumiem - Atslēgas un paroles koda vēsturē paliek arī pēc faila izdzēšanas.

8. Secinājumi un nākamie soļi

Katrai jomai ir viens no iznākumiem: kompromitēts, nav atrasts, nevar spriest - "Nav atrasts" nenozīmē "nav kompromitēts", ja redzamība bija nepilnīga - to raksta atsevišķi.
Ziņojumā nosaukti redzamības robi, kas ierobežo secinājumu - Sistēmas bez žurnāliem, īss glabāšanas laiks un iekārtas bez aģenta.
Atradumi ir ar pierādījumiem, laika zīmogiem un avotu - Atradums bez pierādījuma nav atkārtojams un neiztur pārbaudi.
Atrasta ielaušanās nodota incidentu reaģēšanai saskaņā ar plānu - Ar ziņošanas termiņiem, kas sākas no atklāšanas brīža.
Redzamības robiem ir uzdevumi ar atbildīgo un termiņu - Nākamais novērtējums ir tik labs, cik labi ir salaboti šie robi.
Nākamā novērtējuma laiks ir noteikts - Piemēram, reizi gadā, pēc apvienošanās vai pēc nopietna incidenta nozarē.