亚历克斯·瓦库洛夫
网络安全事件调查如何运作
DOI: 10.1145/3830899
网络安全事件无法完全预防。它们会发生，而且最初的几个小时很少能提供明确的证据。调查往往始于混乱：加密的服务器、缺失的日志、可疑的账户以及迅速恢复系统的压力。
首要任务不是归因。而是足够好地重建攻击过程，以了解攻击者是如何进入的、受到了什么影响、以及在恢复安全之前必须修复什么。
如果可能涉及法律诉讼或保险审查，证据处理必须尽早计划，因为粗心的恢复步骤可能会破坏后来重要的痕迹。
同时，并非每次调查都确认了泄露。有时证明没有发生入侵才是正确的结果，因为它用记录在案的事实取代了怀疑。
好的调查将混乱的事件转化为组织可采取行动的事实。
调查、响应与取证并不相同
事件响应和调查往往同时发生，但它们服务于不同的目的。
响应是事件的操作层面。其目的是减少损害、阻止活跃的入侵并将环境重新置于控制之下。
调查解释了发生了什么。它将分散的技术信号转化为时间线，显示攻击者如何进入、活动传播了多远以及为什么事件可能发生。
取证更窄且更正式。它以受控的方式处理数字证据，特别是当结果可能后来由安全团队之外的律师、保险公司或执法部门审查时。
调查开始前的准备
大多数组织在面对事件时并没有做好准备。证据处理规则、升级路径和文档要求往往在事件已经开始后才被定义。提前定义它们使调查在事件真实发生时更快且更有用。
技术基础工作往往同样薄弱。当真正需要时，文档化的网络配置、当前的软件和硬件清单以及准确的用户账户记录经常缺失或过时。
部分原因是结构性的。不同部门运行独立的系统，IT 和安全团队往往处于紧张关系而非协调一致。当发生事件时，从断开的来源恢复基本基础设施细节会消耗调查无法承受的时间。
在任何事件发生之前定义角色并在 IT 和安全之间建立沟通渠道至关重要。他们的利益并非根本对立。IT 掌握基础设施如何构建的技术知识。安全掌握这些资产需要如何保护和使用的背景。在调查期间，这两种视角都至关重要，两个团队都需要积极考虑事件仍在蔓延的可能性。
网络安全调查实际展开的方式
调查往往比应该开始的时间晚。泄露可能发生在周五晚上，而在下周被发现。内部团队随后花几天时间试图遏制它，只有当情况仍未解决时才引入外部调查员。到那时，事件已经是一个业务问题，事实不完整、系统已改变，并有恢复运营的压力。
工作通过数据收集和分析的周期进行。安全团队很少能一次看到全貌。他们从现有证据开始，识别缺失的部分，请求更具体的数据，并在每次迭代中完善方向。每个周期都应明确哪些系统和账户将被检查，以及哪些假设不再适用。
值得注意的是，第一次响应可能帮助或损害调查。快速修复可能会擦除调查员需要的系统状态，而不作为可能会让活跃的攻击继续。在勒索软件或破坏性恶意软件案例中，受影响的设备可能需要快速隔离。在其他情况下，关闭服务器或立即运行端点保护工具可能会移除重要痕迹。没有通用的第一步。
范围也必须保持开放。一个可见的受控主机并不意味着事件是局部的。该主机可能是入口点、最终目标或更广泛链中的一个节点。有用的调查会不断测试问题是孤立的还是基础设施中更广泛活动的一部分。
在适当的条件下，初步调查结果可能在一两天内准备就绪。详细分析和最终调查报告通常需要两周到一个月。调查结果支持恢复决策；报告记录了发生了什么、攻击者如何运作以及必须修复什么弱点。
外包，还是混合模式？
成熟的 IT 和安全团队可以在内部处理部分调查，特别是当他们熟悉基础设施并能访问正确系统时。但严重事件通常需要不适合永久留用员工的狭窄专业知识，例如取证专家或逆向工程师。此外，还需要一名协调员来保持沟通清晰。
这就是为什么最强大的模式通常是混合模式。内部团队了解环境如何构建以及哪些系统是关键。外部调查员带来其他事件的经验，知道收集哪些痕迹。
在选择外部团队时，组成比规模更重要。它应包括技术专家和一名管理与客户沟通的协调员。它还应在首次响应期间提供全天候覆盖。
组织应注意，外部调查团队通常不需要无限访问企业数据。在许多情况下，调查员处理选定的技术痕迹，例如登录记录、系统事件和安全日志。邮件内容、业务文档或其他敏感数据只有在案件实际要求时才应收集。提供商还应保护收集的材料，限制对调查团队的访问，并根据商定的流程删除或返回数据。
一些最困难的调查问题不仅仅是技术性的。当内部团队隐瞒信息、害怕责备或将外部专家视为审计员时，调查会变慢。当所有人都接受相同目标时，过程效果更好：了解发生了什么，遏制损害，并防止同一路径被再次使用。
工具、日志和自动化
安全解决方案只有在保留有用证据时才有帮助。杀毒软件、防火墙和其他控制措施本身并不能使环境准备好调查。如果日志记录不完整或已禁用，工具可能会显示发生了某事而不解释如何发生的。
日志记录是基准。调查员需要用于外部通信的 DNS 日志、用于可疑活动的防火墙日志、用于端点行为的杀毒或 EDR 数据，以及用于账户使用的访问控制记录。这扩展到安全团队可能忽视的业务应用程序日志。企业资源规划（ERP）平台或采购工具生成自己的审计跟踪，这些记录后来可能变得至关重要。因为日志产生太多噪声而关闭日志会让团队只剩下碎片而不是时间线。
此外，采用 AI 驱动开发生命周期（AI-DLC）的组织面临同样的盲点。自动化代理和部署管道创建活动跟踪，这些跟踪仍然很少进入标准调查范围。
集中响应能力也很重要。跨系统启动脚本或保护工具的能力可以加快收集、遏制和分诊。没有它，响应会在速度最关键的时候变慢。
自动化可以收集信号、关联警报并触发预定义操作，但它不能单独解释事件。当工具缺乏业务背景，或当攻击者活动类似于正常管理活动时，数据可能被误读。人类分析仍然是必不可少的。端点检测与响应（EDR）和安全信息与事件管理（SIEM）可以显示可疑行为，但人们决定其含义。
云环境增加了摩擦。来自主要提供商的磁盘镜像可能比物理服务器镜像更容易获得。与此同时，提供商日志可能更难获得。云审计和日志记录权利应在事件之前定义，而不是在事件期间谈判。
法律与证据处理
法律处理应尽早决定，因为它影响技术工作的完成方式。如果公司需要涉及执法部门、提交保险索赔或上法庭，恢复行动需要更严格的控制。
证据完整性取决于流程。重建系统或删除文件而不进行文档记录会削弱案件，即使技术发现是准确的。证据链很重要，因为外部审查者需要理解证据来自哪里、谁处理过它以及它是否保持完整。
还有一个业务决策要做。法律诉讼可能使事件细节公开，造成公司可能宁愿避免的声誉风险。一些公司主要需要内部补救。其他人需要正式的证据记录，因为事件可能涉及内部人员活动、合同索赔或监管风险。
理解攻击
有用的调查应改变组织理解自身环境的方式，以及在下一次事件后如何做出恢复决策。直接目标是安全恢复业务流程。长期价值是理解攻击者如何运作以及哪些弱点促成了入侵。这就是将调查从反应转变为风险管理的东西。
亚历克斯·瓦库洛夫 是一名网络安全研究员，在恶意软件分析方面拥有超过 20 年的经验，并具有强大的恶意软件清除技能。
