No pirmās piekļuves līdz sistēmas kompromitēšanai: kā rekonstruē kiberuzbrukumu?

Uzņēmuma drošības komanda konstatē aizdomīgu pieslēgšanos serverim. Pēc sākotnējās pārbaudes izrādās, ka izmantots derīgs lietotāja konts, no šī servera notikusi saziņa ar vēl vienu iekšējo sistēmu un kādā vēlākā brīdī izpildīta administratīva darbība. Visi trīs notikumi var būt saistīti, taču sākotnēji vēl nav zināms, vai tos veicis viens cilvēks, viens automatizēts process vai vairākas savstarpēji neatkarīgas darbības. Drošības komandai var būt pietiekams pamats nekavējoties ierobežot piekļuvi. Izmeklētājam nepieciešams vairāk. Viņam jānosaka, kuri fakti ir apstiprināti, kāda informācija trūkst un kuras hipotēzes palīdz izskaidrot pieejamos pierādījumus. Ja katru aizdomīgu notikumu automātiski iekļauj vienā uzbrukuma ķēdē, izmeklēšanas rezultāts var izskatīties loģisks, bet būt kļūdains.

MITRE ATT&CK terminoloģijā taktika raksturo uzbrucēja mērķi, tehnika — tā sasniegšanas veidu, apakštehnika — konkrētāku uzvedības paveidu, bet procedūra — konkrētu īstenojumu. Šī taksonomija palīdz strukturēt hipotēzes, tomēr konkrēta incidenta rekonstrukcijā vajadzīgi neatkarīgi notikumu un konteksta pierādījumi. Avots: https://attack.mitre.org/resources/faq/.

Šādu atšķirību labi var redzēt incidenta hronoloģijā. Sistēmas žurnālā var būt precīzs autentifikācijas laiks, taču tas vēl neapliecina, kurš fiziski izmantoja attiecīgo kontu. Tīkla ieraksts var parādīt savienojumu starp divām adresēm, bet ne obligāti pierādīt, ka pa šo savienojumu pārraidīti sensitīvi dati. Savukārt ļaunprātīgas programmatūras klātbūtne ne vienmēr ļauj noteikt, kad uzbrucējs pirmo reizi ieguva piekļuvi infrastruktūrai. Digitālās izmeklēšanas uzdevums ir izveidot pārbaudāmu skaidrojumu par notikušo, nepārvēršot pierādījumu trūkumu par izdomātām detaļām. NIST SP 800-86 apraksta digitālās izmeklēšanas paņēmienu integrēšanu incidentu reaģēšanā, izmantojot dažādus datu avotus — failus, operētājsistēmu informāciju, tīkla datus un lietojumprogrammu ierakstus. Savukārt NIST SP 800-61 trešā redakcija incidentu izmeklēšanu sasaista ar plašāku organizācijas risku pārvaldības un reaģēšanas procesu. S01S02

Šajā rakstā piedāvāju praktisku pieeju, kā savienot digitālos pierādījumus, notikumu secību, uzbrukuma uzvedības klasifikāciju un profesionāli pamatotus secinājumus. Tā nav instrukcija uzbrukuma veikšanai. Runa ir par to, kā drošības komanda var atbildēt uz jautājumu, kas faktiski noticis un cik pārliecinoši to iespējams pierādīt.

Drošības uzraudzības sistēma var pareizi konstatēt aizdomīgu darbību, bet šis rezultāts vēl neatbild uz visiem izmeklēšanas jautājumiem. Brīdinājums par neparastu autentifikāciju nenosaka, kā iegūta piekļuve kontam, vai autentifikācija bija veiksmīga, kādas darbības notika pēc tās un vai piekļuve attiecās arī uz citām sistēmām. Incidenta ierobežošanas lēmumu nereti nepieciešams pieņemt ātrāk, nekā iespējams pilnībā rekonstruēt notikušo. Tas ir saprotami: organizācijai jāmazina iespējamais kaitējums, negaidot galīgo izmeklēšanas ziņojumu. Tomēr sākotnējā reakcija un galīgā pierādījumu interpretācija ir atšķirīgi uzdevumi.

Piemēram, drošības komanda var izolēt serveri, jo pastāv ticamas aizdomas par neatļautu administratīvu piekļuvi. Šis lēmums var būt pamatots pat tad, ja vēlāk izmeklēšana atklāj citu incidenta attīstības mehānismu, nekā sākotnēji pieņemts. Tāpēc izmeklēšanas rezultātā jāspēj nošķirt to, kas bija zināms reaģēšanas brīdī, no tā, ko izdevās pierādīt vēlāk. Šī disciplīna palīdz arī izvairīties no retrospektīvas pārliecības. Pēc incidenta noslēguma notikumu secība var šķist acīmredzama, jo izmeklētājs jau zina būtiskākos rezultātus. Tomēr tas nenozīmē, ka sākotnējā situācijā katra pazīme nepārprotami norādīja uz konkrētu uzbrukuma ķēdi.

Pirms sākt plašu datu analīzi, nepieciešams definēt izmeklēšanas jautājumus. Tie var būt saistīti ar pirmo pierādāmo neatļauto piekļuvi, skartajām identitātēm un sistēmām, piešķirto vai iegūto privilēģiju apjomu, datu iespējamu iegūšanu un incidenta turpināšanās risku. Jautājumi jāformulē tā, lai tiem būtu iespējams meklēt pierādījumus. Piemēram, jautājums “vai uzbrucējs pārņēma visu uzņēmuma infrastruktūru?” sākotnēji var būt pārāk plašs. Izmeklēšanas gaitā to var sadalīt konkrētos jautājumos par autentifikācijām, administratīvām darbībām, piekļuvi noteiktām sistēmām un pieejamajām telemetrijas robežām.

Nākamais uzdevums ir pierādījumu saglabāšana. Digitālās izmeklēšanas laikā būtiski zināt, no kuras sistēmas konkrētais materiāls iegūts, kad tas noticis, ar kādu metodi un kas tam piekļuvis. Vajadzības gadījumā izmanto kriptogrāfiskas kontrolsummas, piekļuves uzskaiti un pierādījumu nodošanas dokumentāciju. Kontrolsumma var palīdzēt pierādīt, ka saglabātā datu kopija kopš noteikta brīža nav mainīta. Taču tā viena pati neapliecina sākotnējo datu autentiskumu vai pareizu interpretāciju. Ja avota sistēmas pulkstenis bija kļūdains vai tās žurnāli tika mainīti pirms datu iegūšanas, vēlāk aprēķināta kontrolsumma šo problēmu neatrisinās.

NIST SP 800-86 īpaši uzsver digitālo izmeklēšanas datu iegūšanas, pārbaudes, analīzes un rezultātu ziņošanas disciplīnu. Tā ir 2006. gada publikācija, kuras metodoloģiskie principi joprojām ir noderīgi, tomēr konkrētas mūsdienu mākoņvides un identitātes platformas jāizmeklē ar atbilstošām aktuālām tehniskajām procedūrām. S01

Vienai organizācijai var būt vairākas savstarpēji nesaistītas telemetrijas sistēmas. Galiekārtu drošības platforma apkopo procesu un failu notikumus, identitātes pakalpojums glabā autentifikācijas ierakstus, tīkla infrastruktūra reģistrē savienojumus, bet mākoņpakalpojumi uztur atsevišķus administratīvo darbību žurnālus. Neviens no šiem avotiem pats par sevi negarantē pilnīgu uzbrukuma redzamību.

2024. gadā publicētās Austrālijas, ASV, Apvienotās Karalistes un citu partneru kopīgās vadlīnijas par notikumu žurnalēšanu uzsver centralizētu piekļuvi, korelāciju, drošu glabāšanu un atklāšanas stratēģiju. Tajās īpaši atzīmēta žurnālu nozīme uzbrukumos, kuros izmantoti leģitīmi sistēmu administrēšanas rīki un darbības, kuras var līdzināties parastam lietojumam. S03 Izmeklētājam tāpēc jāzina arī tas, kādi pierādījumi nav pieejami. Ja konkrētai sistēmai nav procesu telemetrijas vai žurnāli glabājas īsāku laiku par iespējamo kompromitēšanas periodu, šis ierobežojums jāatspoguļo ziņojumā. Nevar apgalvot, ka darbība nav notikusi, tikai tāpēc, ka organizācijas rīcībā nav tās ieraksta.

Uzbrukuma rekonstrukcijā hronoloģija ir viens no svarīgākajiem analītiskajiem instrumentiem. Taču dažādu sistēmu notikumu saraksta sakārtošana pēc laika vēl automātiski nerada uzticamu uzbrukuma aprakstu. Vispirms jāpārbauda laika avoti. Sistēmas var izmantot dažādas laika zonas, atšķirīgus žurnālu formātus un nepietiekami sinhronizētus pulksteņus. Viena platforma var reģistrēt notikuma rašanās laiku, cita — ieraksta saņemšanas vai apstrādes brīdi. Ja šie apstākļi netiek nošķirti, notikumi var tikt ievietoti nepareizā secībā. Praksē es saglabātu sākotnējo laika vērtību un atsevišķi norādītu normalizētu UTC laiku, izmantoto pārveidošanas metodi un zināmo nenoteiktību. Ja pieejamie pierādījumi ļauj noteikt tikai aptuvenu intervālu, nav pamata uzrādīt sekunžu precizitāti.

Svarīgi arī saprast, ka notikumu tuvums laikā nenozīmē cēloņsakarību. Ja konts autentificējies serverī un pēc dažām sekundēm reģistrēts savienojums ar citu sistēmu, tas var būt viens darbību process, taču savienojuma izcelsmes un kontroles noteikšanai nepieciešama papildu korelācija. Hronoloģijā ieteiktu atsevišķi reģistrēt tieši novērotos notikumus un izmeklētāja sasaistes secinājumus. Tas ļauj vēlāk precizēt hipotēzi, nemainot pašu saglabāto faktu kopumu.

Uzbrukuma rekonstrukcijā sākotnējās piekļuves noteikšana bieži ir sarežģītāka, nekā liecina galīgā incidenta apraksta vienkāršotā secība. Pirmais atklātais kompromitētais serveris ne vienmēr ir pirmā sistēma, kurai uzbrucējs piekļuvis. Tāpat agrākais pieejamais ļaunprātīgais notikums nav obligāti uzbrukuma faktiskais sākums. Izmeklētājs var konstatēt, ka konts izmantots neparastā laikā, izveidota attālināta sesija un pēc tam veikta administratīva darbība. Tomēr sākotnēji jāapsver vairāki skaidrojumi: nozagti autentifikācijas dati, leģitīma administratora darbība, automatizācijas kļūda vai cita piekļuves mehānisma izmantošana.

Arī privilēģiju iegūšanas analīzē nepieciešama precizitāte. Konts var būt ar augstām tiesībām jau pirms incidenta. Šādā situācijā nav korekti apgalvot, ka uzbrucējs veicis privilēģiju paaugstināšanu, ja pierādījumi apliecina tikai jau privileģēta konta izmantošanu. Līdzīgi jānošķir piekļuve citai sistēmai no tās kompromitēšanas. Tīkla savienojums vai autentifikācijas mēģinājums var būt nozīmīgs indikators, taču tam jāpiešķir korekta pierādījumu nozīme. Lai apstiprinātu kompromitēšanu, nepieciešami fakti par neatļautu piekļuvi, darbību vai kontroli konkrētajā sistēmā.

Precizitāte šeit nav formālisms. No nepareizi interpretētas uzbrukuma ķēdes var izrietēt kļūdains incidenta apmēra novērtējums, nepareizi atjaunošanas lēmumi un nepietiekama sākotnējā riska novēršana.

MITRE ATT&CK ļauj strukturēti aprakstīt uzbrucēju taktikas un tehnikas. Piemēram, Initial Access attiecas uz sākotnējās piekļuves iegūšanu, Credential Access — uz autentifikācijas datu iegūšanas paņēmieniem, bet Lateral Movement — uz pārvietošanos starp sistēmām. MITRE nošķir taktisko mērķi, tehniku, apakštehniku un konkrēto procedūru, kuru uzbrucējs izmantojis. S04 Tomēr ATT&CK matrica nav pierādījumu ģenerators. Ja izmeklētājs konstatē neparastu attālinātas administrēšanas rīka izmantošanu, attiecīgo uzvedību var būt iespējams sasaistīt ar konkrētu ATT&CK tehniku. Šī klasifikācija neapliecina, ka darbība bijusi ļaunprātīga vai ka to veicis noteikts uzbrucēju grupējums.

Jāuzmanās arī no mākslīgas secības. ATT&CK taktikas nav universāla hronoloģiska instrukcija, kurā katram uzbrukumam obligāti jāiziet visi posmi. Reālā incidentā dažas darbības var atkārtoties, citas nenotikt vispār, un daļa palikt ārpus pieejamās telemetrijas. 2026. gada MITRE Enterprise ATT&CK taksonomijā ietvertas arī atsevišķas Stealth un Defense Impairment taktikas. Tas ir piemērs, kāpēc konkrētas taksonomijas atsauces jāpārbauda to izmantošanas brīdī, nevis bezgalīgi jāpārpublicē vecākas shēmas. S05 Es ATT&CK izmantotu kā analītisku apraksta valodu. Katram piešķirtajam tehnikas identifikatoram nepieciešama saite uz konkrētiem notikumiem un pamatojums. Ja pazīmes ir nepietiekamas, korektāk ir atzīmēt hipotēzi nekā piešķirt tehniku tikai tāpēc, ka tā iederas iespējamajā uzbrukuma stāstā.

Apskatīsim izdomātu uzņēmuma incidentu. Pirmdienas rītā drošības komanda saņem brīdinājumu par neparastu administratīva konta izmantošanu. Pārbaudot identitātes žurnālus, redzams veiksmīgs autentifikācijas notikums ārpus attiecīgā konta ierastā darba grafika. Neilgi pēc tam galiekārtu uzraudzības sistēmā reģistrēta administratīva procesa palaišana vienā no serveriem. Vēlāk tīkla telemetrijā redzams savienojums ar citu iekšējo serveri, bet tā lietojumprogrammas žurnālā ir ieraksts par piekļuvi noteiktam resursam. Sākotnēji šāda secība var radīt aizdomas par kompromitēta administratora konta izmantošanu un pārvietošanos infrastruktūrā. Taču šim secinājumam nepieciešama pārbaude. Iespējams, administrators veica iepriekš saskaņotu apkopi. Iespējams, piekļuve resursam notikusi automatizēta procesa dēļ. Var arī izrādīties, ka viens no ierakstiem atspoguļo cita lietotāja sesiju.

Izmeklēšanas laikā tiek iegūta izmaiņu pārvaldības informācija, pārbaudīti administratīvie uzdevumi, sasaistīti identitātes un galiekārtu notikumi un noteikta savienojuma faktiskā izcelsme. Pieņemsim, ka šī pārbaude apstiprina neatļautu administratīva konta izmantošanu un neatļautu piekļuvi otrajam serverim. Tajā pašā laikā nav pietiekamu pierādījumu, ka no šī servera būtu izgūti dati. Korekts izmeklēšanas secinājums būtu: apstiprināta neatļauta piekļuve divām sistēmām, bet datu eksfiltrācija nav pierādīta. Tas nenozīmē, ka eksfiltrācija ar absolūtu pārliecību nav notikusi. Šādam noliegumam nepieciešams izvērtēt pieejamās telemetrijas pārklājumu un pierādījumu robežas.

Šis piemērs nav reāls incidents, un norādītā darbību secība nav domāta kā uzbrukuma izpildes instrukcija. Tā ilustrē, kā hipotēze tiek precizēta ar vairāku neatkarīgu datu avotu palīdzību.

Lai novērstu nepamatotu secinājumu rašanos, piedāvāju katru būtisko izmeklēšanas apgalvojumu sasaistīt ar pierādījumiem, alternatīviem skaidrojumiem un pārbaudes statusu. Tā ir autora analītiski izveidota darba matrica, nevis NIST vai MITRE oficiāla veidlapa.

Katram būtiskajam apgalvojumam vajadzētu piešķirt arī unikālu identifikatoru, lai izmeklēšanas ziņojumā iespējams izsekot izmantotajiem pierādījumiem. Pierādījuma ierakstā noder avota sistēma, datu iegūšanas laiks, sākotnējā laika vērtība, tās normalizācijas metode, integritātes pārbaudes rezultāts un attiecīgais notikumu diapazons. Nevajadzētu mākslīgi piešķirt precīzus pārliecības procentus, ja organizācijai nav metodoloģijas to kalibrēšanai. Praktiskāk ir norādīt, vai apgalvojums tieši apstiprināts ar pierādījumiem, ir pamatots ar vairāku avotu korelāciju, paliek ticama hipotēze vai ir nepārbaudīts.

Ja vēlāk parādās jauns pierādījums, izmeklēšanas secinājuma statuss var mainīties. Izmaiņa jāreģistrē, nevis klusējot jāpārraksta iepriekšējā interpretācija.

Viena no lielākajām problēmām incidentu rekonstrukcijā ir priekšlaicīga pieķeršanās pirmajai ticamajai hipotēzei. Kad analītiķis sāk uzskatīt, ka incidentu izraisījusi kompromitēta identitāte, arī turpmākie notikumi var tikt interpretēti šīs hipotēzes apstiprināšanai. Lai to mazinātu, pie katras būtiskas sasaistes jānosaka arī tas, kāds pierādījums varētu apgāzt sākotnējo skaidrojumu. Piemēram, pieņēmumu par neatļautu administratīvu darbību var vājināt pārbaudāma izmaiņu pārvaldības atļauja, atbilstošs administratora darba uzdevums un citu telemetrijas avotu saskanīgs rezultāts.

Savukārt neparasta tīkla savienojuma sasaisti ar datu eksfiltrāciju var pārbaudīt, analizējot komunikācijas kontekstu, attiecīgā resursa funkciju, pieejamos datu plūsmas ierakstus un leģitīmu procesu darbību tajā pašā laikā. Nav pieļaujams no viena liela datu pārsūtīšanas apjoma automātiski izdarīt secinājumu par sensitīvu datu zādzību. Praktiski noder arī neatkarīga otra analītiķa pārbaude. Viņam jāredz ne tikai sagatavotais incidenta stāsts, bet arī sākotnējie pierādījumi un alternatīvās hipotēzes. Citādi pastāv risks, ka otrais pārbaudītājs apstiprina jau gatavu interpretāciju, neveicot patstāvīgu analīzi.

Ne visi jautājumi būs atrisināmi. Dažkārt pierādījumi ir izdzēsti, žurnālu glabāšanas periods beidzies vai datu avots nekad nav bijis ieslēgts. Šādā gadījumā korekta izmeklēšana var noslēgties ar daļēju rekonstrukciju un skaidri nosauktiem nezināmajiem apstākļiem.

Ziņojumam jāļauj kompetentam lasītājam saprast, kā izmeklētājs nonācis līdz secinājumiem. Nav nepieciešams pārpublicēt visus neapstrādātos žurnālus, īpaši tad, ja tie satur personas datus, konfidenciālu informāciju vai drošības ziņā sensitīvas detaļas. Taču būtiskajiem apgalvojumiem jābūt izsekojamiem līdz pierādījumiem, kurus pilnvarota persona var pārbaudīt. Es ziņojumā paredzētu skaidru izmeklēšanas tvērumu, datu avotu un pierādījumu uzskaiti, notikumu hronoloģiju, apstiprinātās darbības, ticamās hipotēzes un neatrisinātos jautājumus. Atsevišķi būtu jānorāda konstatētās telemetrijas nepilnības, iespējamie pierādījumu integritātes ierobežojumi un jautājumi, kuriem būtu vajadzīga papildu izmeklēšana.

ATT&CK klasifikācija var būt noderīga kā strukturēts pielikums, ja tehniku piesaiste ir dokumentēta un pamatota. Tā nedrīkst aizstāt faktisko hronoloģiju. Vēl jo mazāk to vajadzētu izmantot kā pietiekamu pamatu konkrēta uzbrucēju grupējuma nosaukšanai. Svarīgs ir arī ziņojuma laika konteksts. Izmeklēšana var turpināties pēc sākotnējā dokumenta sagatavošanas, tāpēc jābūt skaidram versijas numuram, sagatavošanas datumam un turpmāko izmaiņu vēsturei. Ja vēlāk noskaidrots cits sākotnējās piekļuves mehānisms, iepriekšējo secinājumu korekcija jāpadara pārskatāma.

NIST SP 800-86 uzsver ziņošanas nozīmi digitālās izmeklēšanas procesā, savukārt NIST SP 800-61 Rev. 3 incidentu reaģēšanas informācijas izmantošanu sasaista ar turpmāku organizācijas drošības uzlabošanu. S01S02

Izmeklēšanas hronoloģijā katram svarīgajam secinājumam jābūt sasaistītam ar konkrētu notikumu avotu un tā uzticamības ierobežojumu. Ja autentifikācijas sistēma reģistrējusi veiksmīgu pieslēgšanos, tas vēl nepierāda, kurš cilvēks atradās pie tastatūras. Ja žurnālos nav atbilstoša notikuma, tas nenozīmē, ka darbība nav notikusi: žurnāls varēja nebūt vācies, glabāšanas periods varēja beigties, vai uzbrucējs varēja ietekmēt novērošanu. Praksē izveidotu divas paralēlas tabulas. Pirmajā būtu laika atzīmes, notikumi, avoti un integritātes pārbaudes; otrajā — iespējamās uzbrukuma secības un katrai nepieciešamie apstiprinošie vai atspēkojošie pierādījumi. Atšķirību starp «nav pierādījuma», «pierādījums nav iegūstams» un «pierādījums atspēko hipotēzi» nevar aizstāt ar vienu sarkanu vai zaļu statusu. Šāds nošķīrums pasargā no šķietami pārliecinošām, bet neizsekojamām incidentu rekonstrukcijām.

Aktuālais MITRE ATT&CK laidiens (2026. gada 13. oktobris)

MITRE 2026. gada 13. oktobrī publicēja ATT&CK v20.0, kas aizstāj iepriekšējo laidienu kā aktuālo katalogu. Tas ir jāatšķir no ATT&CK v18 2025. gada oktobrī ieviestās detektēšanas modeļa pārstrukturēšanas. S07 Uzbrukuma rekonstrukcijā ATT&CK palīdz formulēt uzvedības hipotēzes, tomēr konkrētas tehnikas kodi, definīcijas un to grupējums ir versēti. Ja analītiķis salīdzina agrāk klasificētu incidentu ar pašreizējo katalogu, jāfiksē abām interpretācijām izmantotā ATT&CK versija, lai vēsturisku atšķirību nesajauktu ar jaunatklātu tehnisku faktu.

ATT&CK terminoloģija palīdz sistemātiski nosaukt uzbrucēja uzvedību, taču atbilstība tehnikai nav neatkarīgs pierādījums par konkrēta notikuma norisi. Analītiķim vajadzīga sākotnējā telemetrija, novērojuma laiks, izcelsme un alternatīvo skaidrojumu pārbaude. Turklāt taksonomiju versijas mainās: atsauces uz tehnikām un datu komponentiem jāfiksē kopā ar izmantoto versiju, nevis jāpārņem kā nemainīgi identifikatori.

Kiberuzbrukuma rekonstrukcija nav mēģinājums aizpildīt katru incidenta posmu ar iespējamu uzbrucēja darbību. Tas ir darbs ar ierobežotiem, dažādas kvalitātes pierādījumiem, kuru savstarpējās attiecības jāpārbauda. Pat detalizēta notikumu hronoloģija var būt nepilnīga, ja tai trūkst uzticamas informācijas par identitātēm, sistēmām, sesijām vai datu plūsmām. Es katrā DFIR izmeklēšanā prasītu trīs lietas. Pirmkārt, lai būtiskie notikumi būtu sasaistīti ar identificējamiem pierādījumiem. Otrkārt, lai apstiprināti fakti netiktu sajaukti ar ticamām, bet vēl nepārbaudītām hipotēzēm. Treškārt, lai ziņojumā būtu skaidri norādīts, kur izmeklēšanas redzamība beidzas un kāpēc.

Šāds rezultāts var būt mazāk dramatisks par pilnīgu uzbrukuma stāstu, kurā visi notikumi šķiet saistīti un katram jautājumam ir atbilde. Taču profesionālā izmeklēšanā daudz nozīmīgāka ir secinājumu pārbaudāmība. Ja nevaram pierādīt, kā uzbrucējs ieguva sākotnējo piekļuvi, tas jāpasaka. Ja zinām, ka konts izmantots, bet nezinām, kas to izmantoja, šīs lietas nedrīkst sajaukt. Un, ja nav pierādīta datu eksfiltrācija, tas nav tas pats, kas pierādīta eksfiltrācijas neesamība.