Какво може да бъде полезно от регистрационните файлове на работна станция, базирана на Windows OS

Работната станция на потребителя е най-уязвимата точка от инфраструктурата по отношение на информационната сигурност. Потребителите може да получат писмо на служебния си имейл, което изглежда от сигурен източник, но с връзка към заразен сайт. Може би някой ще изтегли помощна програма, полезна за работа от неизвестно място. Да, можете да измислите десетки случаи как зловреден софтуер може да проникне във вътрешни корпоративни ресурси чрез потребители. Следователно работните станции изискват повишено внимание и в тази статия ще ви кажем къде и какви събития да предприемете, за да наблюдавате атаките.

За да открие атака на възможно най-ранния етап, WIndows има три полезни източника на събития: Регистър на събитията на сигурността, Регистър на системния мониторинг и Регистри на Power Shell.

Регистър на събитията за сигурност

Това е основното място за съхранение на регистрационни файлове за сигурност на системата. Това включва събития на потребителско влизане/излизане, достъп до обекти, промени в политиката и други дейности, свързани със сигурността. Разбира се, ако е конфигурирана съответната политика.

Изброяване на потребители и групи (събития 4798 и 4799). В самото начало на атака злонамереният софтуер често търси в локални потребителски акаунти и локални групи на работна станция, за да намери идентификационни данни за своите сенчести сделки. Тези събития ще помогнат за откриване на злонамерен код, преди да продължи напред и, използвайки събраните данни, да се разпространи в други системи.

Създаване на локален акаунт и промени в локални групи (събития 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 и 5377). Атаката може да започне, например, чрез добавяне на нов потребител към групата на локалните администратори.

Опити за влизане с локален акаунт (събитие 4624). Уважаемите потребители влизат с акаунт на домейн и идентифицирането на влизане под локален акаунт може да означава начало на атака. Събитие 4624 включва също влизания под акаунт на домейн, така че когато обработвате събития, трябва да филтрирате събития, при които домейнът е различен от името на работната станция.

Опит за влизане с посочения акаунт (събитие 4648). Това се случва, когато процесът работи в режим „изпълни като“. Това не трябва да се случва при нормална работа на системите, така че подобни събития трябва да се контролират.

Заключване/отключване на работната станция (събития 4800-4803). Категорията подозрителни събития включва всички действия, извършени на заключена работна станция.

Промени в конфигурацията на защитната стена (събития 4944-4958). Очевидно, когато инсталирате нов софтуер, настройките на конфигурацията на защитната стена може да се променят, което ще доведе до фалшиви положителни резултати. В повечето случаи не е необходимо да контролирате подобни промени, но определено няма да навреди да знаете за тях.

Свързване на Plug'n'play устройства (събитие 6416 и само за WIndows 10). Важно е да следите това, ако потребителите обикновено не свързват нови устройства към работната станция, но внезапно го правят.

Windows включва 9 категории за проверка и 50 подкатегории за фина настройка. Минималният набор от подкатегории, които трябва да бъдат активирани в настройките:

Logon / Logoff

• Вписвам се;
• Излизане;
• Блокиране на акаунт;
• Други събития за влизане/излизане.

Account Management

• Управление на потребителски акаунти;
• Управление на група за сигурност.

Промяна на политиката

• Промяна на политиката за одит;
• Промяна на правилата за удостоверяване;
• Промяна на правилата за оторизация.

Системен монитор (Sysmon)

Sysmon е помощна програма, вградена в Windows, която може да записва събития в системния регистър. Обикновено трябва да го инсталирате отделно.

Същите тези събития по принцип могат да бъдат намерени в регистъра на сигурността (чрез активиране на желаната политика за одит), но Sysmon предоставя повече подробности. Какви събития могат да бъдат взети от Sysmon?

Създаване на процес (ID на събитие 1). Регистърът на събитията за сигурност на системата може също да ви каже кога е стартиран *.exe и дори да покаже неговото име и път за стартиране. Но за разлика от Sysmon, той няма да може да покаже хеша на приложението. Злонамереният софтуер може дори да се нарече безвреден notepad.exe, но именно хешът ще го извади наяве.

Мрежови връзки (идентификатор на събитие 3). Очевидно има много мрежови връзки и е невъзможно да се проследят всички. Но е важно да се има предвид, че Sysmon, за разлика от Security Log, може да обвърже мрежова връзка с полетата ProcessID и ProcessGUID и показва порта и IP адресите на източника и дестинацията.

Промени в системния регистър (идентификатор на събитие 12-14). Най-лесният начин да се добавите към autorun е да се регистрирате в системния регистър. Security Log може да направи това, но Sysmon показва кой е направил промените, кога, откъде, ID на процеса и предишната стойност на ключа.

Създаване на файл (ID на събитие 11). Sysmon, за разлика от Security Log, ще покаже не само местоположението на файла, но и неговото име. Ясно е, че не можете да следите всичко, но можете да одитирате определени директории.

И сега това, което не е в политиките за регистър на сигурността, но е в Sysmon:

Промяна на времето за създаване на файл (ID на събитие 2). Някои зловреден софтуер може да подмени датата на създаване на файл, за да го скрие от отчетите за наскоро създадени файлове.

Зареждане на драйвери и динамични библиотеки (идентификатори на събития 6-7). Следене на зареждането на DLL и драйвери на устройства в паметта, проверка на цифровия подпис и неговата валидност.

Създайте нишка в работещ процес (идентификатор на събитие 8). Един тип атака, която също трябва да бъде наблюдавана.

RawAccessRead събития (идентификатор на събитие 9). Операции за четене на диск с помощта на „.“. В по-голямата част от случаите такава дейност трябва да се счита за необичайна.

Създайте наименуван файлов поток (идентификатор на събитие 15). Събитие се регистрира, когато се създаде наименуван файлов поток, който излъчва събития с хеш на съдържанието на файла.

Създаване на именувана тръба и връзка (ID на събитие 17-18). Проследяване на зловреден код, който комуникира с други компоненти чрез наименования канал.

WMI активност (ID на събитие 19). Регистрация на събития, които се генерират при достъп до системата през WMI протокол.

За да защитите самия Sysmon, трябва да наблюдавате събития с ID 4 (спиране и стартиране на Sysmon) и ID 16 (промени в конфигурацията на Sysmon).

Регистри на Power Shell

Power Shell е мощен инструмент за управление на инфраструктурата на Windows, така че има големи шансове нападателят да го избере. Има два източника, които можете да използвате, за да получите данни за събития на Power Shell: журнал на Windows PowerShell и журнал на Microsoft-WindowsPowerShell/Operational.

Дневник на Windows PowerShell

Доставчикът на данни е зареден (ИД на събитие 600). Доставчиците на PowerShell са програми, които предоставят източник на данни за преглед и управление на PowerShell. Например вградените доставчици могат да бъдат променливи на средата на Windows или системния регистър. Появата на нови доставчици трябва да се следи, за да се открие навреме злонамерена дейност. Например, ако видите WSMan да се появява сред доставчиците, тогава е стартирана отдалечена PowerShell сесия.

Microsoft-WindowsPowerShell / Оперативен дневник (или MicrosoftWindows-PowerShellCore / Оперативен в PowerShell 6)

Регистриране на модула (ID на събитие 4103). Събитията съхраняват информация за всяка изпълнена команда и параметрите, с които е извикана.

Регистриране на блокиране на скрипт (ID на събитие 4104). Регистрирането на блокирането на скриптове показва всеки изпълнен блок от код на PowerShell. Дори ако атакуващ се опита да скрие командата, този тип събитие ще покаже командата PowerShell, която действително е била изпълнена. Този тип събитие може също така да регистрира някои извършени извиквания на API на ниско ниво, тези събития обикновено се записват като подробни, но ако в блок от код се използва подозрителна команда или скрипт, това ще бъде регистрирано като сериозност на предупреждение.

Моля, имайте предвид, че след като инструментът бъде конфигуриран да събира и анализира тези събития, ще е необходимо допълнително време за отстраняване на грешки, за да се намали броят на фалшивите положителни резултати.

Кажете ни в коментарите какви регистрационни файлове събирате за одити на информационната сигурност и какви инструменти използвате за това. Една от нашите области на фокус са решенията за одит на събития, свързани със сигурността на информацията. За да разрешим проблема със събирането и анализирането на регистрационни файлове, можем да предложим да разгледаме по-отблизо Quest InTrust, който може да компресира съхранени данни в съотношение 20:1, като едно инсталирано негово копие е способно да обработва до 60000 10000 събития в секунда от XNUMX XNUMX източника.

Източник: www.habr.com