पिछले ज़ीरोनाइट्स सम्मेलन में, मॉनिटरिंग सिस्टम में हमारे सहयोगियों के साथ अनौपचारिक संचार के दौरान, हमें पहली नज़र में एक सरल प्रश्न पूछा गया था - यह व्यापक रूप से माना जाता था कि विंडोज ओएस के साथ समापन बिंदु को पूरी तरह से मॉनिटर करने के लिए Sysmon का उपयोग किया जाना चाहिए, क्या ऐसा है? और यदि हां, तो किन विशिष्ट कारणों से (हैलो सरोजोहा!)? हम अपने ज्ञान के सामान या इंटरनेट पर एक समान तुलना में एक व्यापक व्यापक जवाब नहीं पा सके, इसलिए, सबसे पहले खुद के लिए, लेकिन कम से कम नहीं, ताकि भविष्य में ऐसा स्रोत अभी भी समुदाय से हो, हमने इस विषय का पता लगाने का फैसला किया। और विंडोज और Sysmon की आमने-सामने की घटनाओं की तुलना करें। जैसा कि कहा जाता है, "1 ... 2 ... 3 ... लड़ाई!"।

परिचय

सूचना सुरक्षा के क्षेत्र में कोई भी विशेषज्ञ एक निश्चित ढांचे के भीतर काम करने के लिए मजबूर है। उदाहरण के लिए, एक सीमित बजट के भीतर, दुर्लभ अपवादों के साथ सुरक्षा, किसी संगठन के लिए लाभ कमाने या अपने मुख्य व्यवसाय के भीतर अन्य कार्य करने का मुख्य तरीका नहीं है। इसलिए, सीमित संसाधनों की शर्तों में जो संगठन के पास है, उनमें से केवल एक छोटा सा हिस्सा अक्सर सुरक्षा क्षेत्र को आवंटित किया जाता है ताकि इस दिशा को न्यूनतम पर्याप्त स्तर (कुछ आवश्यकताओं के अनुसार) बनाए रखा जा सके। असीमित संसाधनों के साथ भी, हमेशा अन्य प्रतिबंध होंगे जो सुरक्षा के स्तर को पूर्णता में लाने की अनुमति नहीं देते हैं। ये शून्य या सामान्य दिन (अंतहीन पैच प्रबंधन) की कुख्यात कमजोरियां हैं, और हैकर्स और सुरक्षा गार्डों की लगातार हथियारों की दौड़,और आईटी बुनियादी ढांचे के विकास की गतिशीलता, और बहुत कुछ, बहुत कुछ।

इस प्रकाश में, पहले से कहीं ज्यादा, सुरक्षा के साधनों और तरीकों को प्राथमिकता देने का मुद्दा अत्यावश्यक है, जिसमें निगरानी की दिशा भी शामिल है। इस क्षेत्र में, MITER ATT & CK मैट्रिक्स के डेटा के आधार पर आंकड़ों के अनुसार , जिसे हमने पहले ही पिछली बार के बारे में लिखा था , प्राथमिकताएं इस प्रकार हैं: बिना शर्त के इस तरह की सुरक्षा घटनाओं के स्रोत के द्वारा बिना शर्त पहला स्थान लिया जाता है ।

यह स्रोत उन मैट्रिक्स तकनीकों की संख्या की ओर जाता है जिन्हें इस पर दर्ज की गई घटनाओं के आधार पर पहचाना जा सकता है। एंडपॉइंट के लिए सबसे आम ओएस Microsoft विंडोज है। अधिकांश कॉरपोरेट इन्फ्रास्ट्रक्चर में इसके लॉग्स को एकत्रित करना नेटवर्क उपकरणों के कवरेज और दुर्भावनापूर्ण तकनीकों के कवरेज के लिए सभी प्रकार की लागतों के अनुपात में सबसे अच्छा परिणाम देगा। इसकी पुष्टि समान लेखकों के आंकड़ों से होती है। स्थान 1-3, 5, 7, 8, 10 और भाग 4 इन तथाकथित बुनियादी घटनाओं पर कब्जा कर लेते हैं।

लेकिन, जैसा कि प्रसिद्ध मजाक में, एक चेतावनी है। हाल के वर्षों में, यह व्यापक रूप से स्वीकार किया गया है कि विंडोज लॉग को पूरक करने की आवश्यकता है, यदि प्रतिस्थापित नहीं किया गया है, तो सिसमोन घटनाओं के साथ - वे कहते हैं कि वे अधिक पूर्ण, बेहतर, सूचना सुरक्षा के दृष्टिकोण से निगरानी उपकरण के रूप में अनुकूलित हैं।

इसके अलावा, यह दृष्टिकोण किसी तरह से अतिसूक्ष्मवाद की अवधारणा को पूरा करता है। प्रत्येक सॉफ़्टवेयर उत्पाद जिसे आप अपने आप से जोड़ने की कोशिश कर रहे हैं या स्वेच्छा से आपको एक उद्यम ग्राहक द्वारा दिया गया है, हमले के क्षेत्र में वृद्धि, प्रशासन और अद्यतन लागत, और विफलता के बिंदु हैं। और अक्सर - और आपकी निगरानी प्रणाली के कार्यान्वयन से पहले का समय, जबकि आपका दृष्टिकोण अनुमोदन से गुजरता है।

Sysmon Microsoft विशेषज्ञों द्वारा विकसित किया गया था, और हाल ही में इस निगम द्वारा अवशोषित किया गया है, जो आईटी के हिस्से पर एक निश्चित स्तर का विश्वास देता है। इसके अलावा, लॉग एक .evtx लॉग के रूप में लिखे गए हैं, जो आपको नियमित विंडोज लॉग के समान टूल और विधियों का उपयोग करके उन्हें इकट्ठा करने और संसाधित करने की अनुमति देता है।

तुरंत एक आरक्षण करें कि लेख बड़ा हो गया, हालांकि हमने सामग्री को न्यूनतम रूप से डुप्लिकेट करने और संपीड़ित करने का प्रयास किया। पाठक, निश्चित रूप से, लेनिन के बारे में उस मज़ाक का जिक्र करते हुए कह सकते हैं: "लेकिन वह फिसल सकता था ..."। या कि "अधिक पठनीयता के लिए प्रकाशन को दो या तीन भागों में विभाजित किया जा सकता है।" लेकिन हमें यह प्रतीत हुआ कि तैयार सामग्री की मात्रा के बावजूद, हमें दुकान में अपने सहयोगियों के प्रश्न का पूरा उत्तर देना होगा, और खोज अधिक सुविधाजनक होगी। इस प्रकार, कुछ भी नहीं खोने के लिए, हम अनुशंसा करते हैं कि आप लेख को 1 बार पूरी तरह से पढ़ें, शायद अपने लिए नोट्स बनाएं और उसके बाद ही घटनाओं के विशिष्ट समूहों में लौटें और उन्हें विस्तार से बताएं।

सुविधा के लिए, हम सामग्री की एक तालिका जोड़ते हैं: सामग्री की
परिचय
तालिका
तुलनात्मक प्रारूप
एक प्रक्रिया का निर्माण
नेटवर्क कनेक्शन
एक प्रक्रिया समाप्त करना
एक ड्राइवर डाउनलोड करना
एक प्रक्रिया का उपयोग
करना एक फ़ाइल का निर्माण
रजिस्ट्री कार्रवाई
WMI कॉन्फ़िगरेशन
DNS क्वेरीज़
अद्वितीय Sysmon
ईवेंट्स फ़िल्टरिंग ईवेंट
अन्य निशुल्क आधार ईवेंट इवेंट
सामान्य आउटपुट

तुलना प्रारूप

क्यों और क्या तुलना की गई थी, यह स्पष्ट प्रतीत होता है। और यह कैसे किया गया और बिल्कुल क्यों?

हमने उन घटनाओं के प्रत्येक समूह के लिए एक तालिका के रूप में तुलना करने का फैसला किया जो प्रणाली में एक निश्चित गतिविधि को दर्शाते हैं। उदाहरण के लिए, Sysmon में ID (इवेंट ID, EID) 12, 13 और 14 के साथ घटनाओं, रजिस्ट्री के साथ गतिविधि को दर्शाते हुए, अलग-अलग फ़िल्टर भी नहीं किए जाते हैं, हालांकि वे अलग-अलग परमाणु क्रियाओं की बात करते हैं। इसी तर्क के द्वारा, समूहीकरण बनाया गया था।

ऐसे समूहों में केवल इसी तरह के आयोजन शामिल थे। उदाहरण के लिए, Sysmon EID 6 इवेंट का एक एनालॉग विंडोज EID 6 इवेंट है। इसी समय, लोडिंग ड्राइवरों के बारे में कम से कम 219 और 7036 विंडोज इवेंट हैं। लेकिन वे विफलता के मामले में पैदा होते हैं। उन। वही सिमेंटिक लोड न रखें और यदि आवश्यक हो, तो सिसमन या विंडोज की घटनाओं को पूरक कर सकते हैं, जो कि हमने इकट्ठा करने का फैसला किया है।

तालिका में परिलक्षित घटनाओं के समूहों के लिए, सूचनात्मक (जिसका उपयोग हम उद्देश्यों की निगरानी के लिए करते हैं) घटनाओं में निहित क्षेत्रों को तार के रूप में प्रस्तुत किया जाता है। ऐसे प्रत्येक क्षेत्र के लिए, इसका नाम इंगित किया गया है। Windows के लिए, 2 विकल्प संभव हैं, xml और पत्रिका के विचारों के लिए (जिन्होंने सोचा होगा कि वे मेल खाएंगे?) यदि वे रिक्त स्थान से अधिक हैं। ऐसा इसलिए किया जाता है उस क्षेत्र का नाम जो निगरानी प्रणाली में आएगा, संग्रह विधि पर निर्भर हो सकता है। लाइनों में इवेंट डेटा (उनके प्रारूप को समझने के लिए) और एक टिप्पणी (यदि हमारी राय में यह आवश्यक है) भी शामिल है।

दोनों स्रोतों के लिए समान सिमेंटिक लोड वाले फ़ील्ड एक पंक्ति में संयुक्त होते हैं। किसी एक स्रोत के लिए एक समान शब्दार्थ भार वाले क्षेत्र की अनुपस्थिति में, डैश ("-") को इसके अनुरूप क्षेत्रों में दर्शाया गया है।

किसी विशेष इकाई के बारे में जानकारी वाली रेखाएँ, उदाहरण के लिए, क्रिया करने वाले विषय को एक शब्दार्थ समूह में संयोजित किया जाता है।

विंडोज कर्नेल 6.3 (विंडोज 2012 आर 2) और 10.0 (विंडोज 10, 2016, 2019) के संस्करणों के लिए तुलना की गई थी। पहले के संस्करणों पर विचार नहीं किया गया था, हालांकि वे अभी भी व्यापक हैं, वे धीरे-धीरे गायब हो रहे हैं। यदि अलग-अलग कर्नेल संस्करणों की घटनाओं में अंतर नहीं था, तो दोहराव को कम करने के लिए स्तंभों को एक में जोड़ा गया था।

चूंकि दर पूर्णकालिक है, केंद्र से किनारों तक निम्नलिखित क्रम में कॉलम व्यवस्थित किए जाते हैं: डेटा, फ़ील्ड नाम, टिप्पणी। यह तुलना को अधिक दृश्य बनाता है। उन स्रोतों के अनुसार स्तंभों के दृश्य पृथक्करण के लिए जिन स्रोतों का वे उल्लेख करते हैं, रंगों का उपयोग किया जाता है।

Sysmon EID के लिए अनोखा (क्योंकि इस मामले में यह एक पूरक उपकरण है, OS लॉग की रिकॉर्डिंग OS की मूल कार्यक्षमता में शामिल है) एक अलग अनुभाग में दिया गया है।

तालिका वाला अनुभाग GPO सेटिंग्स दिखाता है जिसे समूह ईवेंट लॉग में रिकॉर्डिंग को सक्षम करने के लिए बनाया जाना चाहिए, जैसा कि आमतौर पर संभावित ऑडिट विकल्पों की संख्या काफी बड़ी है। Sysmon के लिए, ऐसी सेटिंग्स नहीं दिखाई जाती हैं, क्योंकि वे सभी एक एकल कॉन्फ़िगरेशन फ़ाइल में निहित हैं।

प्रक्रिया निर्माण

विरोधाभासी रूप से, उन्होंने शुरुआत से शुरू करने का फैसला किया। और फिर वे भी मूल नहीं थे और क्रम में चले गए - बढ़ते ईआईडी सिस्मोन में।

विंडोज में इवेंट डेटा को लॉग करना निम्नानुसार सक्षम है:

• कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - विस्तृत ट्रैकिंग - ऑडिट प्रक्रिया निर्माण - सफलता घटना के लॉगिंग को सक्षम करता है;

• कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - सिस्टम - ऑडिट प्रक्रिया निर्माण - प्रक्रिया निर्माण की घटनाओं में कमांड लाइन शामिल करें - घटना के लिए शुरू की प्रक्रिया की कमांड लाइन को जोड़ता है, जो अक्सर एक नाजायज से वैध शुरुआत को भेद करना संभव बनाता है।

ऊपर वर्णित प्रारूप में तुलना निम्नलिखित तालिका में प्रस्तुत की गई है।

इसके बाद, सभी तालिकाओं को चित्रों द्वारा दर्शाया जाता है और क्लिक करने योग्य होता है। चूंकि, सबसे पहले, हमने एक्सेल में मौजूदा संस्करण के अनुसार कॉलम की चौड़ाई या हाइफ़नेशन को संरक्षित करते हुए टेबल को मार्कडाउन या एचटीएमएल में स्थानांतरित करने का एक अच्छा तरीका नहीं पाया। और दूसरी बात, उनकी सामग्री अनुक्रमण के लिए बहुत मूल्यवान नहीं है, टिप्पणियों को छोड़कर। तालिकाओं में बहुत अधिक मूल्यवान इस आलेख में चर्चा की गई फ़ील्ड की संरचना और डेटा प्रारूप है जिसे आपको इन इवेंट स्रोतों का उपयोग करने के साथ काम करना होगा।

क्रम में इस पर विचार करें, लेकिन लाइन से लाइन नहीं - प्रत्येक अपने लिए ऐसा विस्तृत विश्लेषण करेगा। इस अनुभाग में और नीचे, हम पहली बार सामने आई जानकारी पर ध्यान देंगे। इस व्यवहार के एक उदाहरण के साथ तुरंत शुरू करें। सिस्टम अनुभाग के क्षेत्र हर घटना में मौजूद हैं जो लॉग में आते हैं, स्रोत की परवाह किए बिना - Sysmon या Windows। उनमें सामान्य जानकारी शामिल है:

ईवेंट प्रदाता का नाम।
ईआईडी
जिस समय ईवेंट लॉग किया गया था।
पत्रिका का नाम जहां से हमें यह घटना मिली है।
वह मेज़बान जिस पर यह घटना घटी।

प्रदाता का नाम और कनेक्शन के बाद लॉग आमतौर पर विश्लेषक द्वारा उपयोग नहीं किया जाता है। लेकिन वे यह समझना संभव बनाते हैं कि लॉग कहां और कौन लिखता है, जो कि महत्वपूर्ण है अगर संग्रह प्रक्रिया अभी तक शुरू नहीं हुई है। समय, मेजबान और ईआईडी मुख्य बीकन हैं जिनके द्वारा घटनाओं का प्राथमिक फ़िल्टरिंग किया जाता है।

इसके अलावा, उन क्षेत्रों में जो मैं विशेष रूप से ध्यान देना चाहूंगा - उपयोगकर्ता सत्र और बच्चे और माता-पिता दोनों के लिए GUID केवल Sysmon लॉग में मौजूद है। और एक ही गुल्लक में, विषमताओं से बाहर - विंडोज घटनाओं में प्रक्रिया आईडी (नया और माता-पिता) हेक्साडेसिमल में लिखा जाता है, हालांकि यह उसी कार्य प्रबंधक में दशमलव संकेतन में प्रदर्शित होता है। जैसा कि कहा जाता है, खुश डिबगिंग ("बेहतर करने के लिए? -गथब") ...

विंडोज घटनाओं में एक प्रक्रिया शुरू करते समय कमांड लाइन का एक अलग प्रारूप होता है जो इसे शुरू करने के लिए उपयोग की जाने वाली उपयोगिता पर निर्भर करता है। लेकिन Sysmon में, लेखक चाहते थे और कर सकते थे - प्रारूप अन्य इनपुट पर निर्भर नहीं करता है। मैं कारणों का न्याय नहीं करने जा रहा हूँ, लेकिन इसके बारे में सुनिश्चित करने के लिए, CRM सामग्री के निर्माता Microsoft के लिए धन्यवाद नहीं लिखेंगे।

इस के लिए Sysmon की मुख्य विशिष्ट विशेषता, साथ ही साथ अन्य घटनाओं के लिए जो इस क्षेत्र में हैं, मैं निष्पादन योग्य फ़ाइल के हैश को कॉल करूंगा। हैश प्रारूप Sysmon कॉन्फ़िगरेशन में चुना गया है।

फिर से, अतिरिक्त दिलचस्प सिसमन बोनस से - नियम नाम फ़ील्ड। यह वास्तव में, एक ऐसा टैग है जो कॉन्फिगर फाइल में कुछ फिल्टरों को चिह्नित करने के लिए सुविधाजनक है, और फिर घटनाओं का विश्लेषण करते समय इसका उपयोग करें। उदाहरण के लिए, हम कह सकते हैं कि शुरुआती प्रक्रिया X का तात्पर्य Y या तकनीक Z से है। यह दृष्टिकोण विश्लेषक के दृष्टिकोण से और सामग्री के विकासकर्ता सेग्मेंट या सिस्मोन के दृष्टिकोण से दोनों ही दिलचस्प है - यह हमें उस कारण को समझने की अनुमति देता है, जिसे हमने इस घटना को एकत्र करने का निर्णय लिया था।

निष्कर्ष

घटनाओं के इस समूह को ठीक करने के लिए Sysmon बहुत बेहतर है:

GUID , , , , ID ( ). , , . . ID , , SIEM, . GUID, — .
— — , , . — Sysmon , SIEM ( ). - — , . , SIEM . , , IBM QRadar. , - . , , — Windows , , .
Rule Name .
शेष अद्वितीय क्षेत्रों की प्रयोज्यता, जो कि विंडोज घटनाओं में, जो कि सिसमन घटनाओं में, एक भूमिका निभाता है, जैसा कि वे अंग्रेजी में कहते हैं, केस द्वारा मामला। इसलिए, एक विशेष लॉग की पसंद पर निर्णय लेने के लिए, या सामान्य संयोजन में, उन्हें केस द्वारा भी मामले की आवश्यकता होती है।

नेटवर्क कनेक्शन

विंडोज पर इन घटनाओं को रिकॉर्ड करना: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - ऑब्जेक्ट एक्सेस - ऑडिट फ़िल्टरिंग प्लेटफ़ॉर्म कनेक्शन

आपने विंडोज फ़िल्टरिंग प्लेटफ़ॉर्म (WFP) की घटनाओं पर ध्यान केंद्रित करने का निर्णय क्यों लिया, न कि विंडोज फ़ायरवॉल? उत्तर सीधा है। हमारे अभ्यास के आधार पर, एंटीवायरस के रूप में समापन बिंदु पहले से ही वैसे भी मेजबानों पर हैं। यद्यपि वे सिस्टम की बुनियादी घटनाओं (जो वे हमारे उद्देश्यों के लिए उपयुक्त नहीं हैं) की निगरानी करने के लिए डिज़ाइन नहीं किए गए हैं, फिर भी, आधुनिक वास्तविकताओं में, वे हमेशा एक मेजबान फ़ायरवॉल शामिल करते हैं। इस कारण से, दोहराव से बचने के लिए, विंडोज फ़ायरवॉल को आमतौर पर रद्द कर दिया जाता है। तदनुसार, कोई भी कर्नल को नहीं लिखता है ... डब्ल्यूएफपी, हालांकि, हालांकि यह ट्रैफ़िक को फ़िल्टर कर सकता है, हम इसे केवल निगरानी के लिए उपयोग करते हैं। इसलिए, नकल अनुपस्थित है।

तालिका से पता चलता है कि अगर हम विंडोज घटनाओं पर भरोसा करने की कोशिश करते हैं, तो उपयोगकर्ता अल्ट्रासाउंड और इंटरकनेक्टिंग मेजबानों के FQDN को घटना संवर्धन द्वारा बहाल करना होगा। यद्यपि, यदि आप इसके बारे में सोचते हैं, तो यह जानना हमारे लिए अधिक महत्वपूर्ण है कि किस प्रक्रिया ने कनेक्शन स्थापित किया है, और कौन सा उपयोगकर्ता नहीं। उदाहरण के लिए, मैलवेयर अपने C & C केंद्र में जाता है। वैसे भी, हम यह पता लगाना चाहते हैं कि किसने प्रक्रिया शुरू की या इस समझ के आधार पर एक घटना का निर्माण किया कि नोटपैड स्वयं इंटरनेट पर नहीं जाता है (यानी घटना में उपलब्ध जानकारी के आधार पर)।

और FQDN के साथ यह और भी सरल है - सभी आधुनिक प्रणालियों में मूल या अतिरिक्त कार्यक्षमता के रूप में CMDB घटक शामिल हैं। और यदि नहीं, तो यह निश्चित रूप से तीसरे पक्ष के समाधान के साथ स्टॉक करने लायक है। अपने बुनियादी ढांचे को जानना सामान्य रूप से सूचना सुरक्षा का आधार है। इसलिए जानकारी या तो संवर्धन के माध्यम से या परिसंपत्ति कार्ड के माध्यम से उपलब्ध है, जो सहसंबंध में इसके उपयोग की अनुमति देगा। मुख्य बात यह है कि यदि संभव हो तो, डीएचसीपी लॉग को कनेक्ट करने के लिए मत भूलना ताकि जानकारी अद्यतित हो।

अन्य सभी विशिष्ट क्षेत्र उदाहरण के लिए इतने महत्वपूर्ण नहीं हैं:

प्रसिद्ध बंदरगाह। हम इस क्षेत्र पर भरोसा नहीं करेंगे - यह व्यर्थ नहीं है कि ट्रैफ़िक में विसंगतियों का पता लगाने के साधन कब हैं, उदाहरण के लिए, ssh सुरंग HTTP के बजाय पोर्ट 80 से गुजरती है।
यातायात की दिशा। होस्ट आईडी (IP या FQDN) और कनेक्शन के स्रोत \ गंतव्य को जानने के बाद, आप आसानी से दिशा की गणना कर सकते हैं।

निष्कर्ष

और इस मामले में, Sysmon जीतता है, लेकिन कम महत्वपूर्ण रूप से - GUID, FQDN, उपयोगकर्ता एक सुविधा प्रदान करता है जो कि CRM या तीसरे पक्ष के समाधान का उपयोग करके प्राप्त करना काफी संभव है। फिर भी, छोटे प्रयासों का मतलब शून्य नहीं है।

प्रक्रिया पूरी हो रही है

सामान्य तौर पर, घटना, जैसा कि पहले ही ऊपर उल्लेख किया गया है, बहुत बार उपयोग नहीं की जाती है, लेकिन ...

यदि इसकी आवश्यकता है, तो विंडोज की तरफ एक स्पष्ट जीत है। हम केवल लॉगिंग को सक्षम करने के लिए जोड़ते हैं, और सीधे निष्कर्ष पर जाते हैं।

कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - विस्तृत ट्रैकिंग - ऑडिट प्रक्रिया समाप्ति - सफलता

निष्कर्ष

इस स्थिति में, मूल OS लॉगिंग का लाभ निम्न द्वारा प्राप्त किया जाता है:

प्रक्रिया को पूरा करने वाले उपयोगकर्ता को प्रदर्शित करता है।
एक्ज़िट कोड की उपस्थिति, जो प्रक्रिया के नियमित रूप से पूरा होने, साथ ही त्रुटियों के बारे में बात कर सकती है।

ड्राइवर डाउनलोड

यह विंडोज इवेंट, दूसरों के विपरीत, डिफ़ॉल्ट रूप से सक्षम है और सिस्टम लॉग में मिलता है। इन घटनाओं में बहुत सारे जानकारीपूर्ण क्षेत्र नहीं हैं।

और फिर, तुरंत निष्कर्ष के लिए।

निष्कर्ष

इस समूह में, Sysmon ईवेंट विश्लेषक को अधिक उपयोगी जानकारी प्रदान करते हैं। उदाहरण के लिए, विंडोज घटनाओं के अनुसार, यह भी स्पष्ट नहीं है कि किस ड्राइवर फ़ाइल का उपयोग किया गया था। इसलिए, स्पष्ट बाहरी लोगों में विंडोज के इस समूह में।

प्रक्रिया का उपयोग

हम घटनाओं के इस समूह को बुनियादी के रूप में वर्गीकृत नहीं करेंगे, बल्कि थोड़े उन्नत स्तर पर। सुरक्षा के दृष्टिकोण से, यह घटना काफी दिलचस्पी ले सकती है। कई तरीके हैं जिनसे एक दुर्भावनापूर्ण प्रक्रिया आपके वैध को "बेहतर" बना सकती है। बेशक, परोपकारिता के लिए नहीं, बल्कि दुर्भावनापूर्ण कार्यों के लिए। और विचाराधीन घटनाओं से हमें इस तरह की रचनात्मकता के लिए कई विकल्प खोजने में मदद मिलेगी। ये लॉग कंप्यूटर कॉन्फ़िगरेशन में सक्षम हैं - नीतियां - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - ऑब्जेक्ट एक्सेस - ऑडिट कर्नेल ऑब्जेक्ट - सफलता

विंडोज के दो फायदे हैं। सबसे पहले, उपयोगकर्ता की मैपिंग जिनसे स्रोत प्रक्रिया काम कर रही है। जैसा कि हमने ऊपर उल्लेख किया है, लाभ आमतौर पर नगण्य है। और, दूसरी बात, हैंडल और एक्सेस अधिकार।

यदि एक्सेस अधिकारों में रुचि स्पष्ट है, तो संबंधित घटनाओं को खोजने के लिए केवल हैंडल का उपयोग उपयोगी है। ओएस ऑब्जेक्ट्स के साथ प्रक्रियाओं के माध्यम से उपयोगकर्ता इंटरैक्शन को व्यवस्थित करने के लिए आवश्यक है - समान प्रक्रियाएं (उनके धागे), फाइलें, आदि। तदनुसार, अतिरिक्त घटनाएं दिखा सकती हैं कि कैसे, परिणामस्वरूप, और किसके लिए इसे जारी किया गया था और जब एक्सेस के लिए आवश्यक हैंडल निरस्त कर दिया गया था।

पहली बार वस्तुओं और संभाल के विषयों को छूना, साथ ही साथ उनके साथ क्रिया करना, दो चीजों पर ध्यान देना महत्वपूर्ण है।

सबसे पहले, उपरोक्त अतिरिक्त चरणों को लॉग करने के लिए, ऑडिट नीतियों के लिए अतिरिक्त सेटिंग्स सक्षम करना महत्वपूर्ण है, विशेष रूप से कंप्यूटर कॉन्फ़िगरेशन - पॉल्सी - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - ऑब्जेक्ट एक्सेस - ऑडिट हैंडल मैनिपुलेशन - सफलता। यह याद रखने योग्य है कि इन घटनाओं की मात्रा बहुत बड़ी हो सकती है। हैंडल क्रमशः अनुरोध प्राप्त होने पर जारी किया जाता है, दावा किए गए अधिकारों को दर्शाता है। लेकिन हम वस्तुओं के उपयोग के ऑडिट से सीधे घटनाओं की समान मात्रा की उम्मीद क्यों नहीं कर सकते हैं?

ऐसा इसलिए है क्योंकि, दूसरी बात, उस वस्तु पर SACL को सक्षम करना आवश्यक है जिसे नियंत्रित करने की योजना है। वास्तव में, यह डीएसीएल पहुंच अधिकारों की सूची के समान एक सूची है, जो यह निर्धारित करती है कि वस्तु के उपयोग का प्रयास करते समय उसके टोकन से बनाए गए विषय या वस्तु को सफलता या विफलता प्राप्त होगी या नहीं। लेकिन एसएसीएल लगभग उसी रूप में निर्धारित करता है कि वस्तु के साथ बातचीत करने के अधिकार नहीं हैं, लेकिन क्या कुछ अधिकारों का अनुरोध करने और अभ्यास करने पर सुरक्षा घटनाएं उत्पन्न होंगी। इन घटनाओं में पहले से ही अनुरोध नहीं किया जाएगा, लेकिन वास्तव में उपयोग अधिकार शामिल हैं।

नतीजतन, हमें एक फ़िल्टर मिलता है जो आपको केवल उन वस्तुओं तक पहुंचने के लिए अनुमति देता है जो हमारे लिए महत्वपूर्ण हैं और केवल उन प्रकार की पहुंच है जो हमारे लिए महत्वपूर्ण हैं। लेकिन बदले में, हमें प्रत्येक ऐसी वस्तु को सीधे एक एसएसीएल संलग्न करना चाहिए या संकेत करना चाहिए कि एसएसीएल को मूल वस्तु से विरासत में मिला है। बेशक, यह विभिन्न तरीकों से स्वचालित किया जा सकता है। लेकिन ऐसे स्वचालन उपकरणों के विन्यास को बनाए रखना सुविधाजनक होने की संभावना नहीं है। एक साधारण सीसमॉन सूची के विपरीत, जिसमें वाइल्डकार्ड, यद्यपि अजीबोगरीब भी शामिल हो सकते हैं। हम एक अलग अनुभाग में Sysmon में फ़िल्टर करने के बारे में बात करेंगे।

सौभाग्य से, प्रकार की वस्तुओं के लिए, कर्नेल संस्करण 6.3 और उच्चतर के लिए पहले से ही एक SACL प्रक्रिया मौजूद है। यदि कोई व्यक्ति इस SACL को प्राप्त करने का तरीका निर्दिष्ट कर सकता है (इस लेख से अनुशंसाएँ)हम पूरा करने में विफल रहे), यह सुनना / चर्चा करना दिलचस्प होगा।

पहले से ही चर्चा किए गए GUID और नियम नामों के अलावा, Sysmon की तरफ, कई और दिलचस्प क्षेत्र हैं। सबसे पहले, लक्ष्य प्रक्रिया के पीआईडी। यह आपको संक्रमित वस्तु की बाद की गतिविधि की निगरानी करने की अनुमति देगा, क्योंकि एक निष्पादन योग्य फ़ाइल से कई उदाहरण हो सकते हैं। दूसरे, कॉलट्रेस क्षेत्र, जो लक्ष्य में इवेंट स्रोत की क्रियाओं को कैप्चर करता है। इसे देखें और महसूस करें कि "हाथ की निंदा और कोई धोखाधड़ी नहीं" केवल शब्द नहीं हैं। दूसरी ओर, इस तरह का एक विस्तृत विश्लेषण पहले से ही फोरेंसिक का भाग्य है। और जिसके पास एक समर्पित फोरेंसिक है, वह संभवतः निगरानी प्रणाली के निर्माण के मार्ग की शुरुआत में नहीं है।

निष्कर्ष

इस समूह में, घटनाएँ काफी संख्या में क्षेत्रों में भिन्न होती हैं। लेकिन अगर विंडोज घटनाओं में यह जानकारी प्रारंभिक विश्लेषण की सुविधा प्रदान करती है, तो Sysmon अद्वितीय डेटा को कैप्चर करता है जो किसी अन्य तरीके से प्राप्त करना मुश्किल है। इसलिए, लाभ Sysmon के साथ रहता है।

फ़ाइल निर्माण

यह श्रेणी विंडोज में निम्नानुसार शामिल है: कंप्यूटर कॉन्फ़िगरेशन - पॉल्सी - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियां - ऑब्जेक्ट एक्सेस - ऑडिट फ़ाइल सिस्टम - सफलता

जैसा कि तालिका से देखा जा सकता है, इस समूह के सभी पेशेवरों और विपक्षों के समान हैं जो पहले से ही ऊपर वर्णित हैं। SACL (सभी और सभी के लिए फ़ाइलों और फ़ोल्डरों के लिए) के पेशेवरों और विपक्षों में शामिल हैं, जिसमें गुण - सुरक्षा - उन्नत - उन्नत - ऑडिटिंग - सभी - सफलता - लिखें (फ़ाइलों के लिए) या संशोधित करें (एक निर्देशिका के लिए) शामिल हैं।

आप कंप्यूटर कॉन्फ़िगरेशन - नीतियों - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियों - ऑब्जेक्ट एक्सेस - ग्लोबल ऑब्जेक्ट एक्सेस ऑडिटिंग - फाइल सिस्टम में इसे परिभाषित करके वैश्विक स्तर पर फाइलों पर एसएसीएल सेट कर सकते हैं। लेकिन घटनाओं की संख्या, विशेष रूप से अस्थायी फ़ाइलों के साथ, संचालन की मात्रा के अनुपात में वृद्धि होगी। मैं यह नहीं कहूंगा कि यह एक प्रभावी दृष्टिकोण है, यह केवल संचालन के एक छोटे हिस्से के लिए संभव है।

मैं यहां शुरू होने वाली लॉगिंग विषमताओं को नोट करना चाहूंगा। इस समूह विंडोज घटना तय लिए है नहीं है जब एक फ़ाइल Powershell, उदाहरण के लिए, के माध्यम से बनाई गई है नई मद C: \ FORTEST \ test.t । एक ही समय में, एक ही कार्रवाई पूरी तरह से Sysmon लॉग में प्रदर्शित होती है।

निष्कर्ष

यह घटना समूह सबसे अच्छा Sysmon का उपयोग करके रिकॉर्ड किया गया है।

रजिस्ट्री क्रिया

अब तक समूह की बात करें तो हमने इसमें केवल एक घटना को शामिल किया है। यह प्रवृत्ति यहां बदल जाएगी।

इन घटनाओं को लॉग करना निम्नानुसार कॉन्फ़िगर किया गया है: कंप्यूटर कॉन्फ़िगरेशन - Polcies - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट नीति कॉन्फ़िगरेशन - ऑडिट नीतियां - ऑब्जेक्ट एक्सेस - ऑडिट रजिस्ट्री - सफलता।

सभी (सभी) उपयोगकर्ताओं के लिए SACL को निम्नानुसार परिभाषित किया गया है: regedit.exe - रजिस्ट्री शाखा - अनुमतियाँ - उन्नत - ऑडिटिंग - सभी - सफलता - उन्नत अनुमतियाँ - पूर्ण नियंत्रण या सेट मान, उपकुंजी बनाएँ, लिंक बनाएँ, हटाएं, लिखें DAC।

आप कंप्यूटर कॉन्फ़िगरेशन - नीतियों - विंडोज सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन - ऑडिट नीतियों - ऑब्जेक्ट एक्सेस - ग्लोबल ऑब्जेक्ट एक्सेस ऑडिटिंग - रजिस्ट्री में इसे परिभाषित करके वैश्विक स्तर पर फाइलों पर एसएसीएल सेट कर सकते हैं। दृष्टिकोण के विपक्ष समान फ़ाइल संचालन के समान हैं।

तुरंत सीमाओं पर ध्यान दें। Sysmon के लिए, मूल्य या कुंजी बढ़ाने वाली घटनाओं (नाम बदलने के मूल्य को छोड़कर) के साथ सभी ऑपरेशन (बनाएं, संशोधित करें, हटाएं)। विंडोज के लिए:

मूल्य बढ़ाने वाली घटनाओं के साथ सभी ऑपरेशन।
चाबी बनाने से घटनाएं नहीं बढ़ती हैं।
नाम बदलने की कुंजी केवल एक्सेस ईवेंट उठाती है, नया कुंजी नाम प्रदर्शित नहीं होता है; घटना में निर्दिष्ट अनुरोधित अधिकारों में ऑपरेशन के साथ सहज ज्ञान युक्त पत्राचार नहीं है। इस प्रकार, पुनर्नामकरण ऑपरेशन केवल अपवाद विधि द्वारा निर्धारित किया जा सकता है - इस हैंडल के साथ कोई हटाए जाने की घटना 4660 नहीं है।
कुंजी को हटाना 4663 घटना 4660 के बाद होती है।

पिछले अनुभागों में चर्चा किए गए क्षेत्रों के अलावा, यह ध्यान रखना महत्वपूर्ण है कि विंडोज घटनाओं में नामों और कुंजी और मूल्य के नए डेटा शामिल हैं, जो जांच के दौरान हमलावर के मकसद को समझने में मदद कर सकते हैं। खासकर यदि प्रारंभिक मान मानक या ठेठ नहीं हैं, और जांच के तहत मशीन के रजिस्ट्री डेटा सहित कॉन्फ़िगरेशन, मेजबान के बाहर कहीं भी संग्रहीत नहीं है।

निष्कर्ष

जैसा कि हम देख सकते हैं, विंडोज लॉगिंग पर अधिक कड़े प्रतिबंध हैं। और कुछ तथ्यों को ठीक करने के लिए, एक "सहसंबंध" की आवश्यकता है, भले ही सबसे सरल हो। हालांकि, यह वास्तव में उपयोगी जानकारी का एक बड़ा हिस्सा प्रदान करने में सक्षम है। घटनाओं के इस समूह के लिए प्रतिभागियों में से एक को वरीयता देना मुश्किल है।

WMI कॉन्फ़िगरेशन

हम घटनाओं के पारमार्थिक समूह को पास करते हैं। ये WMI ईवेंट हैं। एक हमलावर एक फ़िल्टर (फ़िल्टर) बना सकता है जो सिस्टम की स्थिति में परिवर्तन के बारे में किसी भी घटना को प्राप्त करता है, हमारे उदाहरण में, एक सेवा की स्थिति में बदलाव। और इस फिल्टर से प्राप्त घटनाओं के आधार पर कुछ कार्यों को करने के लिए, एक उपभोक्ता का निर्माण किया जाता है। हमारे मामले में, यह लॉग फ़ाइल में एक प्रविष्टि है। इसके बाद, उसे फिल्टर और उपभोक्ता के बीच एक बंधन बनाते हुए, फिल्टर आउटपुट को उपभोक्ता इनपुट से जोड़ना होगा। यह एक ऐसी प्रणाली को चालू करेगा जो दी गई शर्तों के तहत काम करती है। अक्सर दृढ़ता रणनीति के लिए उपयोग किया जाता है । यह वर्णित क्रम में ठीक है कि 19-21 सिस्मोन की घटनाएं दर्ज की जाती हैं।

यह समझना महत्वपूर्ण है कि अपने आप में एक फिल्टर या उपभोक्ता बनाने से खतरा पैदा नहीं होता है, लेकिन, निश्चित रूप से, एक हमले का हिस्सा हो सकता है। इसके अलावा, दुर्भावनापूर्ण गतिविधि के लिए, एक मौजूदा फ़िल्टर, एक उपभोक्ता, या दोनों का उपयोग किया जा सकता है। यहाँ यह एक चाकू के साथ है, या, संसाधन के विषय के करीब, एन्क्रिप्टेड दूतों के साथ। सवाल उपकरण में नहीं है, बल्कि इसके उपयोग में है।

आइए मेज पर एक करीब से देखें।

एक महत्वपूर्ण बिंदु जिसे सबसे पहले नोट किया जाना चाहिए - घटना 5861 बंडल के निर्माण या बाद के संशोधन (फिल्टर और उपभोक्ता के संदर्भ में) के तथ्य पर निर्दिष्ट लॉग में उत्पन्न होता है। यह, एक तरफ, कथित रूप से दुर्भावनापूर्ण गतिविधि को ट्रैक करना आसान बनाता है (यदि दो या तीन घटनाओं के बीच कोई संबंध नहीं है) तो केवल इसके भीतर एक गुच्छा नहीं बनता है। और दूसरी ओर, हम इस गतिविधि के शुरुआती समय को याद करते हैं यदि फ़िल्टर या उपभोक्ता इसके ढांचे के भीतर और समय से पहले बनाया जाता है।

क्या यह आलोचनात्मक है? विषयानुसार। यदि हम किसी घटना के क्रम को कम करना शुरू करते हैं और देखते हैं कि दो साल पहले एक एटिपिकल और माना जाने वाला दुर्भावनापूर्ण फ़िल्टर या उपभोक्ता बनाया गया था, तो हमें तुरंत पता चलता है कि हमलावर हमारे साथ दो साल से अधिक समय से घर पर हैं। और हमले के निशान कम से कम इस गहराई तक मांगे जाने चाहिए। किस नियमित अंतराल पर यह घटित होता है? यह मुख्य प्रश्न है।

लेकिन अगर फ़िल्टर या मौजूदा बंडल के उपभोक्ता के लिए परिवर्तन किए जाते हैं, तो हम पूरी घटना को एक ही घटना में देखेंगे। जबकि Sysmon केवल उन परिवर्तनों (उस वस्तु) को प्रतिबिंबित करेगा जो किए गए थे।

अन्य अंतरों के बीच: Sysmon घटनाओं में, डेटा एक अधिक संरचित रूप और एक अधिक सुविधाजनक प्रारूप में परिलक्षित होता है। उदाहरण के लिए, एक atypical प्रारूप में SID के बजाय, उपयोगकर्ता का लॉगिन तुरंत प्रस्तुत किया जाता है। लेकिन डेटा थोड़ा कम है। शायद यह आपके मामले के लिए महत्वपूर्ण है।

हम प्रतिबंधों के साथ समाप्त करते हैं। सबसे पहले, इस तथ्य के बावजूद कि यह पत्रिका विंडोज 2012 (कर्नेल 6.2) के बाद से मौजूद है, हम इन घटनाओं को कर्नेल 6.3 (2012R2) के लिए भी प्राप्त करने में सक्षम नहीं थे, जिसका लेख में अध्ययन किया गया है। शायद यह किसी भी पैच की अनुपस्थिति के कारण है।

दूसरे, इस के लेखक के अनुसारलेख, टाइमर घटनाओं के लिए फ़िल्टर Sysmon द्वारा तय नहीं किया गया है। एक शब्द लेना संभव नहीं है, लेकिन जांचना संभव है। इसके अलावा, Sysmon का संस्करण पुराना है। लेकिन यहाँ एक मिसाल महत्वपूर्ण है - कुछ प्रकार के फ़िल्टर और WMI उपभोक्ता नहीं हैं। इस तरह के अध्ययन से, विवरणों के पूरक, एक अलग लेख बनाया जा सकता है। बस लक्ष्य प्रकारों का परीक्षण करें कि वे क्या पंजीकृत होंगे, यह समझने के लिए।

निष्कर्ष

इस मामले में, हम विंडोज घटनाओं का उपयोग करने के साथ अधिक सहज हैं। सुविधा के दृष्टिकोण से: अधिक डेटा, प्राथमिक सहसंबंध की कोई आवश्यकता नहीं है। तो लक्ष्य-निर्धारण के दृष्टिकोण से - यह एक तंत्र के निर्माण (नए, संशोधित या मौजूदा भागों के आधार पर) को ठीक करता है, न कि इसके व्यक्तिगत टुकड़ों को।

डीएनएस प्रश्न

इसलिए, हम अंतिम समूह की तुलना में आगे बढ़ते हैं, लेकिन फिर भी हमारे लेख के निष्कर्ष से बहुत दूर हैं। इस प्रकार और घटनाओं का संबंधित सेट हाल ही में न केवल हमारे लेख में उपस्थिति से, बल्कि टूलकिट में Sysmon को जोड़कर भी है।

पिछले कुछ वर्षों में, अन्य उद्देश्यों के लिए DNS का उपयोग करने का विषय, उदाहरण के लिए, C & C से आदेश प्राप्त करने या इस चैनल के माध्यम से जानकारी चुराने का विषय लोकप्रिय हो गया है। सबसे अधिक संभावना है कि खुद से नहीं - हम आईसीएमपी और डीएनएस चैनलों के ऐसे उपयोग के बारे में कहानियों को शून्य पर संदर्भित करेंगे। उस समय, परिचित छात्र केवल स्वीकृत चैनलों के माध्यम से संस्थान के नेटवर्क से प्रतिष्ठित गेम सर्वर तक पहुंचने के लिए खिलौना यातायात के इनकैप्सुलेशन में परिष्कृत थे (हाय, जेन्याtumbochko!)। इससे किसी भी तरह उबाऊ या जल्दी से अपनी प्रयोगशालाओं में महारत हासिल करना संभव हो गया। और यह शायद ही उनका विचार था।

लेकिन बहुत पहले नहीं, इस रिसाव चैनल में DoH जैसी एक अवधारणा जोड़ी गई थी, जिसने नेटवर्क स्तर पर संदिग्ध DNS ट्रैफ़िक का पता लगाना जटिल कर दिया था।

या शायद यह सिर्फ एक विपणन चाल थी - एक नया बेचने के लिए, जो कि एक पुरानी भूल भी है। या पता लगाने योग्य दुर्भावनापूर्ण गतिविधि में ऐसे चैनलों की व्यापक घटना की शुरुआत। हमने इस मुद्दे पर गहराई से खुदाई नहीं की, अनाज इकट्ठा करने के लिए तैयार किया - अचानक पाठकों में से एक ने टिप्पणियों में थोड़ा ज्ञान छोड़ने का फैसला किया।

तो, बिंदु के करीब। इवेंट व्यूअर - एप्लिकेशन और सर्विसेज लॉग ऑन करें - Microsoft - विंडोज - डीएनएस क्लाइंट इवेंट्स - ऑपरेशनल - कॉन्टेक्स्ट मेनू - लॉग सक्षम करें।

सभी पहले से ही चर्चा की। विषय के बारे में जानकारी के लिए, हम निष्पादन योग्य फ़ाइल की छवि के स्पष्ट संकेत पर ध्यान देते हैं जिसने Sysmon इवेंट में अनुरोध निष्पादित किया है।

अगर हम ऑब्जेक्ट के बारे में बात करते हैं - विंडोज लॉग में बहुत अधिक जानकारी है। लेकिन कई महत्वपूर्ण "बट" हैं। सबसे पहले, जानकारी को सभी परिणामों के साथ कई घटनाओं में वितरित किया जाता है।

दूसरे, जानकारी को अनपेक्षित तरीके से प्रस्तुत किया जाता है। अधिकांश ज्ञान का निर्णय लेने के लिए पैकेज के क्षेत्र कैसे बनते हैं, इस ज्ञान की आवश्यकता होती है, और इस डेटा को वापस तथ्यों में बदलने की क्षमता होती है जो विश्लेषक के निर्णय को सुविधाजनक बनाते हैं। हम कह सकते हैं कि, वास्तव में, विश्लेषक वेतन पाने में व्यर्थ नहीं है और क्यों नहीं बैठते हैं और इसका पता लगाते हैं। हाँ य़ह सही हैं। लेकिन मुझे आपको याद दिलाना है, हम संकीर्ण-प्रोफ़ाइल विशेषज्ञों के बिना एक छोटी सी टीम के बारे में बात कर रहे हैं, जिसके पहले सूचना सुरक्षा में कार्यों का कोई अंत नहीं है। और यदि प्रत्येक घटना के लिए, जो कि कोलम्बिया द्वारा विश्लेषण किया गया है, तो ऐसा कार्य उस पर पड़ता है, वह कुछ वर्षों में उनके साथ नहीं पकड़ेगा।

निष्कर्ष

इस समूह के लिए, विजेता को निर्धारित करना मुश्किल है। Sysmon एक लैकोनिक संस्करण प्रदान करता है, जिससे आप आसानी से उपयोगी जानकारी के एक अच्छे हिस्से को निचोड़ सकते हैं। विंडोज एक उन्नत विकल्प प्रदान करता है। यह "सीना" करने के लिए बनी हुई है, सामग्री से निपटें और खुद से पूछें कि क्या एनटीए लागू करने का समय था?

अद्वितीय Sysmon ईवेंट

हमने Sysmon की अनूठी घटनाओं के लिए निम्नलिखित को जिम्मेदार ठहराया:

EID 4, 16. हालाँकि इसे विंडोज लॉग के माध्यम से ट्रैक किया जा सकता है, लेकिन वे केवल हमें Sysmon में होने वाली घटनाओं के बारे में बताते हैं। तदनुसार, इसकी अनुपस्थिति में उन्हें कोई मतलब नहीं है।
ईआईडी 2 - ईआईडी 4663 को एक एनालॉग के रूप में माना जा सकता है। लेकिन यहां तक कि इसमें प्रदान की गई अधिकार अधिकार सूचियों को ध्यान में रखते हुए, घटना ईआईडी 2 के रूप में दानेदार नहीं है, और यह अन्य विंडोज घटनाओं के साथ ऐसी स्थिति में समृद्ध नहीं है।
EID 7-9, 17 — . ETW. , , .
EID 15 — , ETW. , — .
EID 18 — (named pipes) . , -, . -, , . ETW.

स्रोत पक्ष पर घटनाओं को फ़िल्टर करने के लिए तीन विकल्प हैं।

पहला केवल विंडोज इवेंट्स के लिए और केवल ऑब्जेक्ट्स के साथ एक्सेस और ऑपरेशंस की निगरानी के लिए उपलब्ध है। SACL का उपयोग करके कार्यान्वित किया गया। इस दृष्टिकोण के नुकसान के बीच दानेदार सेटिंग्स की जटिलता है (उदाहरण के लिए, आप केवल मौजूदा या बनाई गई फ़ाइलों की निगरानी नहीं कर सकते हैं। एक्सएक्सएक्स एक्सटेंशन के साथ)। फायदे के बीच उन उपयोगकर्ताओं की सूची को सीमित करने की क्षमता है जिनके लिए ऑब्जेक्ट के साथ संचालन रिकॉर्ड किया जाता है।

दूसरा विंडोज घटनाओं और सिसोमोन घटनाओं दोनों के लिए उपलब्ध है: एक्सपैथ का उपयोग करते हुए, महान माइक्रोसॉफ्ट द्वारा लगाए गए प्रतिबंधों को ध्यान में रखते हुए। चूंकि विधि दोनों स्रोतों के लिए उपलब्ध है, इसलिए विवरण इस लेख के दायरे से परे है।

और तीसरा Sysmon config है। कई विकल्प हैं:

वाइल्डकार्ड एमुलेशन - इसमें (कोई भी | सभी) शामिल है, (किसी भी | सभी) को छोड़कर, के साथ शुरू होता है। का उपयोग करना शामिल है। सभी को बाहर निकाल देता है, जिससे आप "C: \ Windows \ *। Exe" जैसे भावों का अनुकरण कर सकते हैं।
सटीक मिलान - है, छवि नहीं है।
अंकगणित - से कम, अधिक से अधिक।

यह ध्यान दिया जाना चाहिए कि ऐसे फ़िल्टरिंग सभी क्षेत्रों के लिए उपलब्ध नहीं हैं। उदाहरण के लिए, आप मानक सॉफ़्टवेयर के श्वेतसूची में नहीं रख सकते, ऐसी प्रक्रियाओं का निर्माण जिनके लिए हमें कोई दिलचस्पी नहीं है। हमारे अनुभव से एक उदाहरण - वैध प्रक्रिया git.exe ने हमारे डेवलपर्स के मेजबानों पर प्रति दिन हजारों शुरुआत की घटनाओं का निर्माण किया। शायद, विशेष रूप से इस मामले में, उसके व्यवहार को कड़ा किया जा सकता है, जिससे घटनाओं के इस शाफ्ट को कम किया जा सकता है। लेकिन छवि नाम से निष्पादन योग्य फ़ाइलों को छोड़कर एक अच्छा विचार नहीं है। ठीक है, शायद आत्मरक्षा के साथ केवल एक एंटीवायरस सक्षम है।

सिसमन भी विभिन्न क्षेत्रों से स्थितियों को मिलाकर परिष्कृत छानने के रास्ते पर है। आप प्रत्येक ईआईडी के लिए नियमों का केवल एक समूह बना सकते हैं और रिश्तों के साथ, और केवल एक या संबंधों के साथ। तदनुसार, फॉर्म (ए और बी) या (सी और डी) की शर्तों को अब नहीं लिखा जा सकता है। फ़िल्टर्ड स्ट्रीम के आधार पर, यह तथ्य कोई महत्वपूर्ण लाभ नहीं दे सकता है, लेकिन एक ठोस परिणाम भी दे सकता है।

अन्य निशुल्क आधार ईवेंट प्रदाता

इस खंड में, सबसे पहले, मैं ETW (विंडोज के लिए इवेंट ट्रेस) तंत्र के बारे में बात करना चाहूंगा । दोनों Windows और Sysmon अंतर्निहित लॉग इस तंत्र का उपयोग करके लॉग इवेंट्स करते हैं। वास्तव में, सिस्टम में प्रत्येक कार्रवाई के लिए हम एक घटना प्राप्त कर सकते हैं। इस तरह के आयोजनों की संभावित मात्रा को देखने का सबसे आसान तरीका इवेंट व्यूअर - व्यू - एनालिटिक्स और डिबग लॉग विकल्प को सक्षम करना है। ताकि ईवेंट तुरंत आपके सिस्टम को न भर दें, प्रत्येक लॉग को उसके संदर्भ मेनू में अलग से सक्रिय किया जाता है। आप इस भलाई को देखते हैं और अनजाने में अपने आप से एक सवाल पूछते हैं - हमें विभिन्न घटनाओं की मात्रा के साथ Sysmon की आवश्यकता क्यों है?

तथ्य यह है कि, सबसे पहले, ये लॉग मूल रूप से डीबगिंग के लिए अभिप्रेत थे, न कि सुरक्षा उद्देश्यों के लिए। इसलिए, उनका केंद्रीकृत संग्रह प्रदान नहीं किया गया है। विशेष रूप से, आपको होस्ट का FQDN नहीं मिलेगा, जिस पर वे कहीं भी बनाए गए थे। प्रश्न, निश्चित रूप से, छोटे से बड़े, स्क्रिप्ट से लेकर पूर्ण लॉगिंग सेवाओं तक तृतीय-पक्ष उपयोगिताओं द्वारा हल किया जा सकता है। लेकिन आपको यह याद रखने की आवश्यकता है कि यह एक बड़े उद्यम में अतिरिक्त सॉफ्टवेयर है, और, तदनुसार, एक अलग कार्य। मुझे आपको याद दिलाना है कि परिचय में हम सॉफ्टवेयर स्थापित करने के लिए अतिरिक्त गतिविधि में अतिसूक्ष्मवाद के सिद्धांत से आगे बढ़े।

और दूसरी बात, ये लॉग प्रत्येक छींक के बारे में इतने विस्तार से रिपोर्ट करते हैं कि उन्हें भी बिट द्वारा जानकारी का चयन करना होगा। जर्नल प्रविष्टियाँ वास्तव में परमाणु हैं और विश्लेषक को उत्पाद के लिए काम करने के लिए पूर्व सहसंबंध या संवर्धन की आवश्यकता होगी। आखिरकार, एक प्रोग्रामर जो इन घटनाओं का उपयोग करके अपनी रचना को डिबग करता है, जानता है कि सब कुछ कैसे काम करना चाहिए। और एक सुरक्षा गार्ड, विशेष रूप से एक विस्तृत प्रोफ़ाइल, अमूर्तता के बहुत उच्च स्तर पर सोचता है। हां, इसके अलावा, यह अज्ञात नाजायज गतिविधि की खोज करता है। समस्या का ऐसा बयान एक अतिरिक्त सॉफ्टवेयर मॉड्यूल की ओर जाता है जो पूर्व-प्रसंस्करण को अंजाम देगा। यह हमारी अवधारणा को फिर से जटिल करेगा।

जबकि हम विंडोज का उपयोग करके लॉगिंग से बहुत दूर नहीं गए हैं, हम डब्ल्यूएमआई का उल्लेख करना नहीं भूलेंगे। यह उपकरण मूल रूप से अपने स्रोत को प्रदर्शित किए बिना राज्य परिवर्तनों को कैप्चर करता है। एक अपवाद के एक उदाहरण के रूप में, एक dll को लोड करना: dll मॉड्यूल को ही प्रदर्शित करता है और जो प्रक्रिया इसे लोड कर रही है। लेकिन सुरक्षा उद्देश्यों के लिए, इस घटना को भी संवर्धन की आवश्यकता होती है, क्योंकि यह वह जगह है जहां इसकी जानकारी समाप्त हो जाती है। सामान्य तौर पर, मछलीहीनता और कैंसर मछली हैं। लेकिन उपकरण को केवल एक अतिरिक्त के रूप में इस्तेमाल किया जा सकता है।

एक अन्य लोकप्रिय विकल्प, लेकिन लेख में शामिल नहीं किया गया है, ओस्क्वेरी है।। जिन दो मुख्य कारणों पर हमने इस समाधान पर विचार नहीं किया, वे हैं उत्पाद अपडेट की कम आवृत्ति (सुरक्षा और कार्यक्षमता के मामले में माइनस) और अन्य विकल्पों की तुलना में सिस्टम संसाधनों का बढ़ता उपयोग (एक पूर्ण डेटाबेस शामिल है)। संभवतः, समाधान उन सर्वरों के लिए अच्छी तरह से अनुकूल है जिनके लिए इसे विकसित किया गया था। लेकिन वर्कस्टेशन के लिए, संभवतः पुराने हार्डवेयर के साथ - शायद ही।

हाल ही में, कई और उपकरण सामने आए हैं जो उतने व्यापक नहीं हैं जितना कि माना जाता है। इनमें वेलोसिरैप्टर और सिल्कसेट शामिल हैं। वे एक साइकिल का आविष्कार नहीं करते हैं और विंडोज मानक - ईटीडब्ल्यू के शीर्ष पर भी काम करते हैं। पहले से उद्धृत सामग्री की मात्रा को देखते हुए, इन उपकरणों को एक अलग प्रकाशन में विभाजित करने का निर्णय लिया गया था (समय और प्रयास उपलब्ध हैं, साथ ही मांग की भावना भी)।

सामान्य निष्कर्ष

तुलना के दौरान, यह दिखाया गया कि Sysmon ईवेंट्स में एनालॉग्स हैं जो आमतौर पर अपनी कार्यात्मक विशेषताओं में विंडोज की घटनाओं को बेहतर बनाते हैं। सिस्मोन की कुछ घटनाओं का कोई विकल्प नहीं है।

हालांकि, यह मत भूलो कि, सबसे पहले, समाधान को आपके कार्यों के आधार पर चुना जाना चाहिए। यदि आप सिर्फ एक निगरानी प्रणाली का निर्माण कर रहे हैं और पहले वर्ष में आप सात से दस घटनाओं का पता लगाने के लिए तरीकों को लागू करने की योजना बना रहे हैं, जैसा कि गार्टनर ने दावा किया है, तो आपके पास पर्याप्त विंडोज इवेंट होना चाहिए। और शायद एक साल से भी ज्यादा।

दूसरे, विंडोज इवेंट लॉगिंग सिस्टम भी लगातार अपडेट किया जाता है, और इस लेख के लेखन के दौरान, विंडोज ईआईडीएस जैसे कि 4798 और 4799 दिखाई दिए। यह भी संभव है कि खेतों का सेट पूरक हो। इस प्रकार, यह तुलना, हालांकि यह सबसे पूर्ण है, हमारे पास मौजूद जानकारी के आधार पर पत्थर में नक्काशी नहीं की जाती है।

और तीसरा, Sysmon अभी भी एक बाहरी उपकरण है, जो कई जोखिमों को पूरा करता है। उदाहरण के लिए, हमारे पास ऐसे मामले हैं जब एक कारण घोषित किए बिना व्यक्तिगत ईआईडी के लॉगिंग को समाप्त कर दिया गया था। इस मामले में, अन्य घटनाओं की रिकॉर्डिंग हमेशा की तरह थी। अधिक प्रतिष्ठित सहयोगियों का दावा है कि समस्या 10.41 संस्करण में मेमोरी लीक से संबंधित थी। लेकिन 10.42 को छोड़ दें, जिसमें यह समस्या पूरे या आंशिक रूप से बंद हो जाती है (सिस्मोन के चैंज के साथ, सब कुछ इतना विस्तृत नहीं है), ने इस दिशा में हमारी समस्याओं का समाधान नहीं किया। केवल स्थापना-स्थापना घटक मदद करता है। सभी सुरक्षा और एक अच्छा दिन है!

तैमूर को धन्यवादzinintप्रकाशन तैयार करने में सहायता के लिए।

UPD1 : यह सामान्य परिवर्तन लॉग को बनाए रखने या मुख्य विवरण में नई सुविधाओं को जोड़ने के लिए वास्तव में कठिन हो जाता है, इसलिए जैसा कि हमने खोजा (धन्यवाद, अंकल डिमshudv), nishtyaks के साथ एक ट्रक हमारी सड़क पर पहले से ही 9 महीने पहले बदल गया ... सारांश: Sysmon में आप (A और B) या (C और D) कर सकते हैं, केवल shh ...

Windows बनाम Sysmon

परिचय

तुलना प्रारूप

प्रक्रिया निर्माण

निष्कर्ष

नेटवर्क कनेक्शन

निष्कर्ष

प्रक्रिया पूरी हो रही है

निष्कर्ष

ड्राइवर डाउनलोड

निष्कर्ष

प्रक्रिया का उपयोग

निष्कर्ष

फ़ाइल निर्माण

निष्कर्ष

रजिस्ट्री क्रिया

निष्कर्ष

WMI कॉन्फ़िगरेशन

निष्कर्ष

डीएनएस प्रश्न

निष्कर्ष

अद्वितीय Sysmon ईवेंट

अन्य निशुल्क आधार ईवेंट प्रदाता

सामान्य निष्कर्ष

More articles: