Основы форензики

Порядок летучести: сначала собирай самое хрупкое

Главное правило сбора доказательств — порядок летучести (order of volatility): захватывай первыми те данные, что исчезают быстрее всего. RAM пропадает в тот же миг, как машина перезагружается или под переезжает. Состояние сетевых соединений, запущенные процессы и открытые дескрипторы файлов исчезают за секунды-минуты. Диск переживает перезагрузку; вынесенный наружу лог или бэкап переживает диск. Поэтому собираешь вверх по лестнице летучести — память раньше диска, живое состояние раньше сохранённого, — потому что каждая минута, потраченная на долговечное, это минута деградации хрупкого.

Именно поэтому «просто зайти по SSH и осмотреться» так разрушительно. Чтение файлов обновляет временные метки доступа. Запуск инструментов выделяет память, перезаписывая ту неаллоцированную RAM, где ещё живут удалённые-но-не-освобождённые артефакты (in-memory полезная нагрузка атакующего, освобождённый буфер с учёткой). Каждая команда — это эффект наблюдателя: сам акт осмотра меняет то, что ты сможешь потом доказать. Зрелый ход — обратный рефлекс: снять до того, как анализировать. Снимок летучего состояния куда-то ещё, и только потом ковыряйся в копии.

В облаке и Kubernetes правило держится, меняется лишь механика. Ты не снимаешь образ физического диска; ты делаешь snapshot EBS-тома, дампишь память контейнера через ноду до того, как под убьют, и — что критично — выставляешь скомпрометированному инстансу политику авто-масштабирования и рестарта так, чтобы он не терминировался, потому что переехавший под — это стёртое место преступления. Cordon ноду, snapshot, затем расследуй по снимку.

Chain of custody: доказательство, которое можно защитить

Артефакт достоверен ровно настолько, насколько достоверна запись о том, кто его трогал и когда. Chain of custody (цепочка владения) — это непрерывный задокументированный след, доказывающий, что артефакт не менялся между сбором и выводом: кто собрал, когда, каким инструментом, где хранил и через чьи руки прошёл. Технический якорь — криптографический хеш: ты считаешь SHA-256 дампа памяти или образа диска в момент сбора, записываешь этот хеш, и любой может позже пере-хешировать копию и подтвердить совпадение бит-в-бит. Сломанный хеш означает, что доказательство изменили; совпадающий — что оно нетронуто.

Дисциплина, защищающая хеш, — работай по копиям, никогда по оригиналам. Снял образ диска, захешировал образ, затем весь анализ — против смонтированной только-для-чтения копии. Оригинал (снимок, опечатанный образ) больше не трогаешь. Это не бюрократический театр: если инцидент станет юридическим делом, регуляторным раскрытием или хотя бы внутренним спором о виновности, доказательство со сломанной или отсутствующей цепочкой владения бесполезно. Ты будешь знать, что произошло, и не сможешь это доказать, а в контексте уведомления о пробое или страховки это то же самое, что не знать.

IOC: отпечатки, которые ты ищешь и которыми делишься

IOC (Indicator of Compromise, индикатор компрометации) — это наблюдаемый артефакт, сигнализирующий о вторжении: вредоносный IP или домен, хеш файла, подозрительный ключ реестра или cron-запись, строка user-agent, имя мьютекса. У IOC две работы. Первая — определение охвата (scoping): получив один (скажем, SHA-256 сброшенного бинарника), ты прогоняешь по нему все хосты, чтобы найти полный радиус поражения, а не только машину, которая тебя дёрнула. Вторая — обмен: IOC — это лингва франка threat intel, поэтому извлечённый IP можно скормить правилам детектирования и передать коллегам.

Зрелая оговорка: IOC лежат на дне пирамиды боли (Pyramid of Pain). Хеши и IP атакующему сменить тривиально — перекомпиляция даёт новый хеш, новый VPS даёт новый IP. Их дёшево собирать и дёшево обходить. Долговечный сигнал — выше: TTP — тактики, техники и процедуры противника, ровно то, что каталогизирует MITRE ATT&CK. Сопоставление находок с техникой ATT&CK (скажем, T1059, command-and-scripting interpreter) переживает смену инфраструктуры атакующим, потому что менять как он действует по-настоящему дорого. Так что извлекай IOC, чтобы определить охват этого инцидента, но тянись к поведению, чтобы построить детект, ловящий следующий.

Таймлайн: превращение артефактов в историю

Куча артефактов — не ответ. Итоговый продукт форензики — таймлайн: единая, упорядоченная по времени последовательность, сплавляющая события из всех источников — auth-логи, события создания процессов, времена изменения файлов (MAC-времена: modified, accessed, changed/created), сетевые соединения, логи деплоя — в один нарратив того, что делал атакующий, по порядку. Здесь зарабатывают своё инструменты супертаймлайнинга: они нормализуют временные метки из десятков типов артефактов на одну ось, чтобы прочесть вторжение сверху вниз.

Две сложные проблемы — время и пробелы. Время: корреляция между источниками требует общей точки отсчёта — нормализуй всё к UTC и следи за расхождением часов между хостами и за атакующим, который подделал метки времени, чтобы спрятаться (timestomping; файл, чьё время изменения предшествует времени правки inode, — это улика). Пробелы: отсутствие лога само по себе доказательство — удалённый файл истории shell или окно, когда аудит-логирование было выключено, говорит, где работал атакующий и что он пытался замести следы. Хороший таймлайн не просто говорит, что произошло; выстроенный против MITRE ATT&CK, он показывает прогрессию — первичный доступ, исполнение, персистентность, латеральное движение, — и эта прогрессия говорит, охватил ли ты всё вторжение или увидел только его хвост.