analiza loginów

Analiza loginów to badanie prób i wzorców logowania do systemu pocztowego w celu wykrycia nieautoryzowanego dostępu.

Analiza prób logowania i ich wzorców

Analiza loginów polega na uporządkowaniu informacji o próbach uzyskania dostępu do konta, najczęściej w systemie pocztowym, panelu użytkownika albo aplikacji korzystającej z uwierzytelniania. Sprawdza się między innymi nazwę konta, datę i godzinę próby, wynik operacji, adres IP, port lub usługę, przez którą nastąpiło połączenie, a także identyfikator klienta, taki jak przeglądarka, program pocztowy albo aplikacja mobilna. Pojedyncze nieudane logowanie zwykle nie przesądza o problemie. Znaczenie ma dopiero zestawienie wielu zdarzeń w czasie i porównanie ich z normalnym sposobem korzystania z konta.

Ważnym elementem jest rozróżnienie logowania udanego od odrzuconego. Duża liczba błędnych prób dla jednego loginu może wskazywać na pomyłkę użytkownika, nieaktualne hasło zapisane w programie pocztowym albo automatyczne zgadywanie danych. Z kolei udane logowanie z nietypowego adresu IP, urządzenia lub lokalizacji wymaga sprawdzenia, czy użytkownik rzeczywiście wykonywał wtedy tę operację. Sama lokalizacja ustalana na podstawie adresu IP nie jest dowodem tożsamości, ponieważ może zmieniać się przy korzystaniu z sieci komórkowej, firmowego połączenia pośredniczącego lub usługi VPN.

Źródła danych potrzebne do rzetelnej oceny

Do analizy wykorzystuje się logi uwierzytelniania, dzienniki aplikacji oraz informacje z systemu operacyjnego lub urządzenia sieciowego, o ile są dostępne. W zależności od rozwiązania zdarzenia mogą zawierać kody odpowiedzi, komunikaty o błędnym haśle, informacje o blokadzie konta i nazwę użytego mechanizmu logowania. W przypadku poczty elektronicznej istotne jest ustalenie, czy próba pochodziła z interfejsu webowego, protokołu IMAP, POP3, SMTP lub dedykowanego klienta. Te kanały mogą mieć odrębne rejestry i różny poziom szczegółowości, dlatego nie należy wyciągać wniosków na podstawie jednego pliku.

Logi trzeba interpretować z uwzględnieniem strefy czasowej, synchronizacji zegara oraz sposobu zapisu adresów. Ten sam użytkownik może pojawiać się w rejestrach pod adresem IPv4 albo IPv6, a kilka urządzeń w sieci domowej może korzystać z jednego publicznego adresu. Przydatne jest połączenie zdarzeń według loginu, czasu, adresu sieciowego i identyfikatora sesji. Należy także sprawdzić, czy wpisy nie zostały skrócone przez rotację logów. Brak zdarzenia w bieżącym pliku nie oznacza, że logowanie nie miało miejsca; zapis mógł zostać przeniesiony do archiwum albo usunięty zgodnie z konfiguracją przechowywania.

Odróżnianie pomyłki od próby przejęcia konta

Jednym z rozpoznawalnych wzorców jest seria nieudanych prób dotyczących tego samego loginu, wykonywanych w krótkich odstępach lub z wielu adresów IP. Taki układ może odpowiadać atakowi słownikowemu albo próbom użycia danych wyciekłych z innego serwisu. Inny sygnał ostrzegawczy stanowi logowanie udane bezpośrednio po długiej serii błędów, szczególnie gdy zmieniają się urządzenie, sieć i sposób dostępu. Nie jest to jednak samodzielne potwierdzenie włamania. Konieczne jest porównanie czasu zdarzenia z aktywnością użytkownika oraz sprawdzenie dodatkowych zmian na koncie.

W ramach analizy warto zweryfikować, czy po podejrzanym logowaniu zmieniono hasło, reguły sortowania wiadomości, adres przekazywania poczty, podpis, dane kontaktowe lub ustawienia dodatkowego uwierzytelniania. Znaczenie ma również aktywność po zalogowaniu: wysyłka nietypowych wiadomości, masowe pobieranie poczty albo usuwanie korespondencji. Jeżeli system rejestruje wylogowania i odświeżenia tokenów sesji, należy zestawić je z pierwotnym logowaniem. Długi czas aktywnej sesji może wyglądać jak kolejne logowania, chociaż faktyczne uwierzytelnienie nastąpiło tylko raz.

Postępowanie po wykryciu nieprawidłowości

Po potwierdzeniu podejrzanego wzorca należy najpierw zabezpieczyć materiał diagnostyczny: zachować odpowiednie wpisy logów, zanotować zakres czasu, login, adresy sieciowe i identyfikatory zdarzeń. Następnie można zakończyć aktywne sesje, zmienić hasło z zaufanego urządzenia oraz sprawdzić, czy dodatkowe uwierzytelnianie działa prawidłowo. Hasło nie powinno być ponownie używane w innych usługach. Jeżeli problem dotyczy programu pocztowego, trzeba zweryfikować zapisane dane logowania, ponieważ stary sekret może powodować powtarzające się błędne próby i pozornie przypominać atak.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego przy problemach z logowaniem można rozpocząć od sprawdzenia urządzenia, systemu operacyjnego, przeglądarki oraz programu pocztowego. Diagnostyka powinna obejmować między innymi nieaktualne oprogramowanie, rozszerzenia przeglądarki, zapisane sesje i konfigurację klienta pocztowego. Sama analiza loginów nie zastępuje badania całego środowiska, ale pozwala ustalić chronologię zdarzeń i zawęzić obszar dalszej diagnostyki.