در یک بررسی فنی، اسکریپتی برای تجزیه و تحلیل (Parse) لاگ‌های TTY توسعه یافته است که هدف آن رصد فعالیت‌های عامل‌های تهدید (Threat Actors) یا بات‌ها پس از ورود موفق به سنسورهای DShield است. این لاگ‌ها تمامی دستوراتی که توسط مهاجم در محیط ترمینال اجرا شده‌اند را ثبت می‌کنند.
اهمیت TTY Logs در تحلیل فورنزیک
لاگ‌های TTY به تحلیل‌گران امنیت اجازه می‌دهند تا دقیقاً مشاهده کنند که یک مهاجم پس از دسترسی به سیستم، چه اقداماتی را انجام داده است. این داده‌ها شامل موارد زیر است:
- دستورات تایپ شده توسط کاربر در محیط Shell.
- تلاش برای ارتقاء سطح دسترسی (Privilege Escalation).
- بررسی ساختار سیستم و جستجو برای داده‌های حساس.
- اجرای اسکریپت‌های مخرب یا دانلود ابزارهای حمله.
در این مدل عملیاتی، این لاگ‌ها به صورت روزانه به سیستم SIEM ارسال می‌شوند تا با سایر داده‌های شبکه همبسته (Correlate) شده و الگوهای رفتاری مهاجمان شناسایی گردند. این رویکرد به مدیران SOC کمک می‌کند تا سرعت شناسایی نفوذ را افزایش داده و اثرات حمله را با دقت بیشتری ارزیابی کنند.
