উইন্ডোজ-ভিত্তিক ওয়ার্কস্টেশনের লগগুলি থেকে কী দরকারী জিনিসগুলি বের করা যেতে পারে?

ব্যবহারকারীর ওয়ার্কস্টেশন তথ্য নিরাপত্তার পরিপ্রেক্ষিতে অবকাঠামোর সবচেয়ে ঝুঁকিপূর্ণ পয়েন্ট। ব্যবহারকারীরা তাদের কাজের ইমেলে একটি চিঠি পেতে পারে যা একটি নিরাপদ উত্স থেকে বলে মনে হচ্ছে, তবে একটি সংক্রামিত সাইটের লিঙ্ক সহ। সম্ভবত কেউ একটি অজানা অবস্থান থেকে কাজের জন্য দরকারী একটি ইউটিলিটি ডাউনলোড করবে। হ্যাঁ, ব্যবহারকারীদের মাধ্যমে কীভাবে ম্যালওয়্যার অভ্যন্তরীণ কর্পোরেট সংস্থানগুলিকে অনুপ্রবেশ করতে পারে তার কয়েক ডজন ক্ষেত্রে আপনি আসতে পারেন৷ অতএব, ওয়ার্কস্টেশনগুলিতে মনোযোগ বাড়ানো প্রয়োজন, এবং এই নিবন্ধে আমরা আপনাকে বলব যে আক্রমণগুলি নিরীক্ষণের জন্য কোথায় এবং কী ইভেন্টগুলি নিতে হবে।

সম্ভাব্য প্রাথমিক পর্যায়ে আক্রমণ শনাক্ত করার জন্য, উইন্ডোজের তিনটি দরকারী ইভেন্ট উত্স রয়েছে: সিকিউরিটি ইভেন্ট লগ, সিস্টেম মনিটরিং লগ এবং পাওয়ার শেল লগ।

নিরাপত্তা ইভেন্ট লগ

এটি সিস্টেম নিরাপত্তা লগের জন্য প্রধান স্টোরেজ অবস্থান. এতে ব্যবহারকারীর লগইন/লগআউট, অবজেক্টে অ্যাক্সেস, নীতি পরিবর্তন এবং অন্যান্য নিরাপত্তা-সম্পর্কিত কার্যক্রম অন্তর্ভুক্ত রয়েছে। অবশ্যই, যদি উপযুক্ত নীতি কনফিগার করা হয়।

ব্যবহারকারী এবং গোষ্ঠীর গণনা (ইভেন্ট 4798 এবং 4799)। আক্রমণের একেবারে শুরুতে, ম্যালওয়্যার প্রায়ই স্থানীয় ব্যবহারকারীর অ্যাকাউন্ট এবং স্থানীয় গোষ্ঠীগুলির মাধ্যমে একটি ওয়ার্কস্টেশনে তার ছায়াময় লেনদেনের জন্য শংসাপত্রগুলি সন্ধান করে। এই ইভেন্টগুলি দূষিত কোড শনাক্ত করতে সাহায্য করবে এটি এগিয়ে যাওয়ার আগে এবং, সংগৃহীত ডেটা ব্যবহার করে, অন্যান্য সিস্টেমে ছড়িয়ে পড়ে।

একটি স্থানীয় অ্যাকাউন্ট তৈরি করা এবং স্থানীয় গোষ্ঠীতে পরিবর্তন (ইভেন্ট 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 এবং 5377)। আক্রমণ শুরু হতে পারে, উদাহরণস্বরূপ, স্থানীয় প্রশাসক গোষ্ঠীতে একটি নতুন ব্যবহারকারী যোগ করে।

একটি স্থানীয় অ্যাকাউন্টের সাথে লগইন প্রচেষ্টা (ইভেন্ট 4624)। সম্মানিত ব্যবহারকারীরা একটি ডোমেন অ্যাকাউন্ট দিয়ে লগ ইন করুন, এবং একটি স্থানীয় অ্যাকাউন্টের অধীনে একটি লগইন শনাক্ত করার অর্থ একটি আক্রমণ শুরু হতে পারে। ইভেন্ট 4624 একটি ডোমেন অ্যাকাউন্টের অধীনে লগইনগুলিও অন্তর্ভুক্ত করে, তাই ইভেন্টগুলি প্রক্রিয়া করার সময়, আপনাকে ইভেন্টগুলি ফিল্টার করতে হবে যেখানে ডোমেনটি ওয়ার্কস্টেশনের নাম থেকে আলাদা।

নির্দিষ্ট অ্যাকাউন্ট দিয়ে লগ ইন করার চেষ্টা (ইভেন্ট 4648)। এটি ঘটে যখন প্রক্রিয়াটি "রান হিসাবে" মোডে চলছে। সিস্টেমের স্বাভাবিক ক্রিয়াকলাপের সময় এটি হওয়া উচিত নয়, তাই এই ধরনের ঘটনাগুলি নিয়ন্ত্রণ করা আবশ্যক।

ওয়ার্কস্টেশন লক/আনলক করা (ইভেন্ট 4800-4803)। সন্দেহজনক ইভেন্টের শ্রেণীতে লক করা ওয়ার্কস্টেশনে সংঘটিত যেকোন ক্রিয়া অন্তর্ভুক্ত থাকে।

ফায়ারওয়াল কনফিগারেশন পরিবর্তন (ইভেন্ট 4944-4958)। স্পষ্টতই, নতুন সফ্টওয়্যার ইনস্টল করার সময়, ফায়ারওয়াল কনফিগারেশন সেটিংস পরিবর্তন হতে পারে, যা মিথ্যা ইতিবাচক কারণ হতে পারে। বেশিরভাগ ক্ষেত্রে, এই ধরনের পরিবর্তনগুলি নিয়ন্ত্রণ করার কোন প্রয়োজন নেই, তবে তাদের সম্পর্কে জানার জন্য এটি অবশ্যই ক্ষতি করবে না।

Plug'n'play ডিভাইসগুলিকে সংযুক্ত করা হচ্ছে (ইভেন্ট 6416 এবং শুধুমাত্র Windows 10 এর জন্য)। ব্যবহারকারীরা সাধারণত ওয়ার্কস্টেশনে নতুন ডিভাইস সংযুক্ত না করলে, কিন্তু হঠাৎ করেই তা করে তাহলে এই বিষয়ে নজর রাখা গুরুত্বপূর্ণ।

উইন্ডোজে 9টি অডিট বিভাগ এবং 50টি উপশ্রেণী রয়েছে। ন্যূনতম উপশ্রেণীর সেট যা সেটিংসে সক্ষম করা উচিত:

লগঅন / logoff

• লগ ইন করুন;
• লগ অফ;
• অ্যাকাউন্ট লকআউট;
• অন্যান্য লগন/লগঅফ ইভেন্ট।

হিসাব ব্যবস্থাপনা

• ব্যবহারকারীর অ্যাকাউন্ট ব্যবস্থাপনা;
• নিরাপত্তা গ্রুপ ব্যবস্থাপনা।

নীতি পরিবর্তন

• অডিট নীতি পরিবর্তন;
• প্রমাণীকরণ নীতি পরিবর্তন;
• অনুমোদন নীতি পরিবর্তন.

সিস্টেম মনিটর (সিসমন)

Sysmon হল একটি ইউটিলিটি যা Windows-এ নির্মিত যা সিস্টেম লগে ইভেন্ট রেকর্ড করতে পারে। সাধারণত আপনাকে এটি আলাদাভাবে ইনস্টল করতে হবে।

এই একই ঘটনাগুলি, নীতিগতভাবে, নিরাপত্তা লগে পাওয়া যেতে পারে (কাঙ্খিত অডিট নীতি সক্রিয় করে), কিন্তু Sysmon আরও বিশদ প্রদান করে। কি ঘটনা Sysmon থেকে নেওয়া যেতে পারে?

প্রক্রিয়া তৈরি (ইভেন্ট আইডি 1)। সিস্টেম সিকিউরিটি ইভেন্ট লগ আপনাকে জানাতে পারে কখন একটি *.exe শুরু হয়েছে এবং এমনকি এর নাম ও লঞ্চের পথ দেখাতে পারে। কিন্তু Sysmon এর বিপরীতে, এটি অ্যাপ্লিকেশন হ্যাশ দেখাতে সক্ষম হবে না। ক্ষতিকারক সফ্টওয়্যারকে এমনকি নিরীহ notepad.exe বলা হতে পারে, তবে এটি হ্যাশ যা এটিকে আলোতে আনবে৷

নেটওয়ার্ক সংযোগ (ইভেন্ট আইডি 3)। স্পষ্টতই, অনেকগুলি নেটওয়ার্ক সংযোগ রয়েছে এবং সেগুলির ট্র্যাক রাখা অসম্ভব। কিন্তু এটি বিবেচনা করা গুরুত্বপূর্ণ যে সিসমন, সিকিউরিটি লগের বিপরীতে, ProcessID এবং ProcessGUID ক্ষেত্রের সাথে একটি নেটওয়ার্ক সংযোগ আবদ্ধ করতে পারে এবং উত্স এবং গন্তব্যের পোর্ট এবং IP ঠিকানাগুলি দেখায়৷

সিস্টেম রেজিস্ট্রিতে পরিবর্তন (ইভেন্ট আইডি 12-14)। অটোরানে নিজেকে যুক্ত করার সবচেয়ে সহজ উপায় হল রেজিস্ট্রিতে নিবন্ধন করা। সিকিউরিটি লগ এটি করতে পারে, তবে সিসমন দেখায় কে পরিবর্তন করেছে, কখন, কোথা থেকে, প্রসেস আইডি এবং পূর্ববর্তী কী মান।

ফাইল তৈরি (ইভেন্ট আইডি 11)। সিসমন, সিকিউরিটি লগের বিপরীতে, শুধুমাত্র ফাইলের অবস্থান নয়, এর নামও দেখাবে। এটা স্পষ্ট যে আপনি সবকিছুর ট্র্যাক রাখতে পারবেন না, তবে আপনি নির্দিষ্ট ডিরেক্টরি অডিট করতে পারেন।

এবং এখন যা সিকিউরিটি লগ পলিসিতে নেই, কিন্তু সিসমনে রয়েছে:

ফাইল তৈরির সময় পরিবর্তন (ইভেন্ট আইডি 2)। কিছু ম্যালওয়্যার সম্প্রতি তৈরি করা ফাইলের রিপোর্ট থেকে লুকানোর জন্য একটি ফাইল তৈরির তারিখ ফাঁকি দিতে পারে।

ড্রাইভার এবং ডাইনামিক লাইব্রেরি লোড হচ্ছে (ইভেন্ট আইডি 6-7)। মেমরিতে DLL এবং ডিভাইস ড্রাইভারের লোডিং নিরীক্ষণ করা, ডিজিটাল স্বাক্ষর এবং এর বৈধতা পরীক্ষা করা।

চলমান প্রক্রিয়ায় একটি থ্রেড তৈরি করুন (ইভেন্ট আইডি 8)। এক ধরনের আক্রমণ যা নিরীক্ষণ করা প্রয়োজন।

RawAccessRead ইভেন্ট (ইভেন্ট আইডি 9)। "." ব্যবহার করে ডিস্ক রিড অপারেশন। অধিকাংশ ক্ষেত্রে, এই ধরনের কার্যকলাপ অস্বাভাবিক বিবেচনা করা উচিত।

একটি নামযুক্ত ফাইল স্ট্রিম তৈরি করুন (ইভেন্ট আইডি 15)। একটি ইভেন্ট লগ করা হয় যখন একটি নামযুক্ত ফাইল স্ট্রিম তৈরি করা হয় যা ফাইলের বিষয়বস্তুগুলির একটি হ্যাশ সহ ইভেন্টগুলি নির্গত করে৷

একটি নামযুক্ত পাইপ এবং সংযোগ তৈরি করা হচ্ছে (ইভেন্ট আইডি 17-18)। দূষিত কোড ট্র্যাক করা যা নামযুক্ত পাইপের মাধ্যমে অন্যান্য উপাদানের সাথে যোগাযোগ করে।

WMI কার্যকলাপ (ইভেন্ট আইডি 19)। WMI প্রোটোকলের মাধ্যমে সিস্টেম অ্যাক্সেস করার সময় তৈরি হওয়া ইভেন্টগুলির নিবন্ধন।

সিসমনকে সুরক্ষিত রাখতে, আপনাকে আইডি 4 (সিসমন থামানো এবং শুরু হওয়া) এবং আইডি 16 (সিসমন কনফিগারেশন পরিবর্তন) সহ ইভেন্টগুলি পর্যবেক্ষণ করতে হবে।

পাওয়ার শেল লগ

পাওয়ার শেল উইন্ডোজ অবকাঠামো পরিচালনার জন্য একটি শক্তিশালী হাতিয়ার, তাই আক্রমণকারী এটি বেছে নেওয়ার সম্ভাবনা বেশি। পাওয়ার শেল ইভেন্ট ডেটা পেতে আপনি দুটি উত্স ব্যবহার করতে পারেন: Windows PowerShell লগ এবং Microsoft-WindowsPowerShell/অপারেশনাল লগ৷

উইন্ডোজ পাওয়ারশেল লগ

ডেটা প্রদানকারী লোড হয়েছে (ইভেন্ট আইডি 600)। PowerShell প্রদানকারীরা এমন প্রোগ্রাম যা পাওয়ারশেলকে দেখতে এবং পরিচালনা করার জন্য ডেটার উৎস প্রদান করে। উদাহরণস্বরূপ, বিল্ট-ইন প্রদানকারীরা Windows এনভায়রনমেন্ট ভেরিয়েবল বা সিস্টেম রেজিস্ট্রি হতে পারে। সময়মত দূষিত কার্যকলাপ সনাক্ত করার জন্য নতুন সরবরাহকারীদের উত্থান নিরীক্ষণ করা আবশ্যক। উদাহরণস্বরূপ, আপনি যদি দেখেন যে WSMan প্রদানকারীদের মধ্যে উপস্থিত হচ্ছে, তাহলে একটি দূরবর্তী PowerShell সেশন শুরু হয়েছে।

Microsoft-WindowsPowerShell / অপারেশনাল লগ (বা MicrosoftWindows-PowerShellCore / PowerShell 6-এ অপারেশনাল)

মডিউল লগিং (ইভেন্ট আইডি 4103)। ইভেন্টগুলি প্রতিটি নির্বাহিত কমান্ড এবং যে প্যারামিটারগুলির সাথে এটি কল করা হয়েছিল সে সম্পর্কে তথ্য সঞ্চয় করে।

স্ক্রিপ্ট ব্লকিং লগিং (ইভেন্ট আইডি 4104)। স্ক্রিপ্ট ব্লকিং লগিং এক্সিকিউট করা পাওয়ারশেল কোডের প্রতিটি ব্লক দেখায়। এমনকি যদি একজন আক্রমণকারী কমান্ড লুকানোর চেষ্টা করে, এই ইভেন্টের ধরণটি পাওয়ারশেল কমান্ডটি দেখাবে যা আসলে কার্যকর করা হয়েছিল। এই ইভেন্টের ধরনটি কিছু নিম্ন-স্তরের API কলগুলিকেও লগ করতে পারে, এই ইভেন্টগুলি সাধারণত ভার্বোস হিসাবে রেকর্ড করা হয়, তবে যদি কোডের একটি ব্লকে একটি সন্দেহজনক কমান্ড বা স্ক্রিপ্ট ব্যবহার করা হয় তবে এটি একটি সতর্কতা তীব্রতা হিসাবে লগ করা হবে।

অনুগ্রহ করে মনে রাখবেন যে একবার এই ইভেন্টগুলি সংগ্রহ এবং বিশ্লেষণ করার জন্য টুলটি কনফিগার করা হলে, মিথ্যা ইতিবাচক সংখ্যা কমাতে অতিরিক্ত ডিবাগিং সময় প্রয়োজন হবে।

তথ্য সুরক্ষা নিরীক্ষার জন্য আপনি কোন লগ সংগ্রহ করেন এবং এর জন্য আপনি কোন সরঞ্জামগুলি ব্যবহার করেন তা মন্তব্যে আমাদের বলুন৷ আমাদের ফোকাসের ক্ষেত্রগুলির মধ্যে একটি হল তথ্য নিরাপত্তা ইভেন্টের অডিট করার জন্য সমাধান। লগ সংগ্রহ এবং বিশ্লেষণের সমস্যা সমাধানের জন্য, আমরা আরও ঘনিষ্ঠভাবে দেখার পরামর্শ দিতে পারি কোয়েস্ট ইনট্রাস্ট, যা 20:1 অনুপাতের সাথে সঞ্চিত ডেটা সংকুচিত করতে পারে এবং এর একটি ইনস্টল করা উদাহরণ 60000 উত্স থেকে প্রতি সেকেন্ডে 10000টি ইভেন্ট পর্যন্ত প্রক্রিয়া করতে সক্ষম।

উত্স: www.habr.com