সিসমন থ্রেট অ্যানালাইসিস গাইড, পার্ট 1

এই নিবন্ধটি Sysmon হুমকি বিশ্লেষণের একটি সিরিজের প্রথম অংশ। সিরিজের অন্য সব অংশ:

অংশ 1. সিসমন লগ বিশ্লেষণের ভূমিকা (আমরা এখানে)
পার্ট 2. হুমকি শনাক্ত করতে Sysmon ইভেন্ট থেকে ডেটা ব্যবহার করা
পার্ট 3: গ্রাফ সহ গভীর সিসমন থ্রেট বিশ্লেষণ

আপনি যদি তথ্য নিরাপত্তার সাথে জড়িত থাকেন, তাহলে সম্ভবত আপনাকে প্রায়ই চলমান আক্রমণ বুঝতে হবে। আপনার যদি ইতিমধ্যেই একটি প্রশিক্ষিত চোখ থাকে, তাহলে আপনি "কাঁচা" কাঁচা লগগুলিতে অ-মানক কার্যকলাপের সন্ধান করতে পারেন - বলুন, একটি পাওয়ারশেল স্ক্রিপ্ট চলছে ডাউনলোড স্ট্রিং কমান্ড অথবা একটি VBS স্ক্রিপ্ট শুধুমাত্র Windows ইভেন্ট লগের সর্বশেষ কার্যকলাপের মাধ্যমে স্ক্রোল করে একটি Word ফাইল হওয়ার ভান করে। কিন্তু এটা সত্যিই বড় মাথা ব্যাথা। ভাগ্যক্রমে, মাইক্রোসফ্ট সিসমন তৈরি করেছে, যা আক্রমণ বিশ্লেষণকে অনেক সহজ করে তোলে।

Sysmon লগে প্রদর্শিত হুমকির পিছনে মৌলিক ধারণাগুলি বুঝতে চান? আমাদের গাইড ডাউনলোড করুন গুপ্তচরবৃত্তির উপায় হিসেবে WMI ইভেন্ট এবং আপনি বুঝতে পারেন কিভাবে অভ্যন্তরীণ ব্যক্তিরা গোপনে অন্যান্য কর্মীদের উপর গুপ্তচরবৃত্তি করতে পারে। উইন্ডোজ ইভেন্ট লগের সাথে কাজ করার প্রধান সমস্যা হল প্যারেন্ট প্রসেস সম্পর্কে তথ্যের অভাব, যেমন এটি থেকে প্রক্রিয়াগুলির শ্রেণিবিন্যাস বোঝা অসম্ভব। অন্যদিকে, সিসমন লগ এন্ট্রিতে প্যারেন্টের প্রসেস আইডি, এর নাম এবং কমান্ড লাইন চালানো হয়। ধন্যবাদ মাইক্রোসফট.

আমাদের সিরিজের প্রথম অংশে, আমরা দেখব সিসমনের প্রাথমিক তথ্য দিয়ে আমরা কী করতে পারি। দ্বিতীয় অংশে, আমরা হুমকি গ্রাফ নামে পরিচিত আরও জটিল সম্মতি কাঠামো তৈরি করতে পিতামাতার প্রক্রিয়া তথ্যের সম্পূর্ণ সুবিধা নেব। তৃতীয় অংশে, আমরা একটি সাধারণ অ্যালগরিদম দেখব যা গ্রাফের "ওজন" বিশ্লেষণের মাধ্যমে অ-মানক কার্যকলাপের জন্য হুমকি গ্রাফ স্ক্যান করে। এবং শেষ পর্যন্ত, পুরষ্কার হিসাবে, আপনি হুমকি সনাক্ত করার জন্য একটি ঝরঝরে (এবং বোধগম্য) সম্ভাব্য পদ্ধতি খুঁজে পাবেন।

পার্ট 1: সিসমন লগ বিশ্লেষণ প্রবর্তন

ইভেন্ট লগের জটিলতা বুঝতে কী সাহায্য করবে? শেষ পর্যন্ত, SIEM. এটি ইভেন্টগুলিকে স্বাভাবিক করে তোলে এবং তাদের পরবর্তী বিশ্লেষণকে সরল করে। কিন্তু আমাদের এতদূর যেতে হবে না, অন্তত প্রথমে। শুরুতে, SIEM-এর নীতিগুলি বোঝার জন্য, বিস্ময়কর বিনামূল্যে Sysmon ইউটিলিটি চেষ্টা করা যথেষ্ট হবে। এবং তার সাথে কাজ করা আশ্চর্যজনকভাবে সহজ। এটা চালিয়ে যান, মাইক্রোসফ্ট!

Sysmon এর বৈশিষ্ট্য কি কি?

সংক্ষেপে, প্রক্রিয়া সম্পর্কে দরকারী এবং পঠনযোগ্য তথ্য (নীচের ছবি দেখুন)। আপনি একগুচ্ছ দরকারী বিবরণ পাবেন যা Windows ইভেন্ট লগে নেই, তবে সবচেয়ে গুরুত্বপূর্ণ হল নিম্নলিখিত ক্ষেত্রগুলি:

• প্রসেস আইডি (ডেসিমেল, হেক্স নয়!)
• অভিভাবক প্রক্রিয়া আইডি
• কমান্ড লাইন প্রক্রিয়া করুন
• অভিভাবক প্রক্রিয়া কমান্ড লাইন
• ফাইল ইমেজ হ্যাশ
• ফাইল ছবির নাম

Sysmon একই সময়ে ডিভাইস ড্রাইভার এবং একটি পরিষেবা উভয় হিসাবে ইনস্টল করা আছে - আরও জানুন এখানে। এর মূল সুবিধা হল থেকে লগগুলি বিশ্লেষণ করার ক্ষমতা কয়েক উত্স, তথ্যের পারস্পরিক সম্পর্ক এবং ইভেন্ট লগের একটি ফোল্ডারে ফলাফলের মানের আউটপুট, যা পথ বরাবর অবস্থিত মাইক্রোসফট -> উইন্ডোজ -> সিসমন -> অপারেশনাল. Windows লগগুলিতে আমার নিজের চুল-উত্থাপনের তদন্তে, আমাকে ক্রমাগতভাবে PowerShell লগস ফোল্ডার এবং সিকিউরিটি ফোল্ডারের মধ্যে পরিবর্তন করতে হয়েছিল, কোনোভাবে তাদের মধ্যে মানগুলিকে ম্যাপ করার বীরত্বপূর্ণ প্রয়াসে ইভেন্ট লগগুলির মাধ্যমে স্ক্রোল করতে হয়েছিল। এটি কখনই একটি সহজ কাজ নয়, এবং আমি পরে বুঝতে পেরেছি, অবিলম্বে অ্যাসপিরিন স্টক করা ভাল।

অন্যদিকে, সিসমন আপনাকে অন্তর্নিহিত প্রক্রিয়াগুলি বুঝতে সাহায্য করার জন্য দরকারী (অথবা, যেমন বিক্রেতারা বলতে চান, কর্মযোগ্য) তথ্য প্রদান করে একটি গুণগত লাফিয়ে এগিয়ে যায়। উদাহরণস্বরূপ, আমি একটি লুকানো সেশন শুরু করেছি wmiexec, যা নেটওয়ার্কের মধ্যে একটি স্মার্ট ইনসাইডারের গতিবিধি অনুকরণ করে। উইন্ডোজ ইভেন্ট লগে আপনি যা দেখতে পাবেন তা এখানে:

প্রক্রিয়া সম্পর্কে কিছু তথ্য Windows লগে দৃশ্যমান, কিন্তু এটি খুব কমই কাজে লাগে। প্লাস প্রসেস আইডি হেক্সে???

হ্যাকিংয়ের মূল বিষয়গুলি বোঝার সাথে একজন পেশাদার আইটি পেশাদারের জন্য, কমান্ড লাইনটি সন্দেহজনক হওয়া উচিত। cmd.exe ব্যবহার করে তারপরে একটি অদ্ভুত নামের ফাইলে পুনঃনির্দেশিত আউটপুট সহ অন্য কমান্ড চালানো - এটি নিয়ন্ত্রণ এবং পরিচালনার জন্য সফ্টওয়্যারের ক্রিয়াগুলির মতো স্পষ্টতই অনুরূপ কমান্ড-এন্ড-কন্ট্রোল (C2): এইভাবে, WMI পরিষেবা ব্যবহার করে একটি ছদ্ম শেল তৈরি করা হয়।
এখন আসুন একটি সিসমন এন্ট্রির সমতুল্য দেখে নেওয়া যাক, এটি আমাদের কতটা অতিরিক্ত তথ্য দেয় তা লক্ষ করা যাক:

একটি স্ক্রিনশটে Sysmon বৈশিষ্ট্য: একটি পঠনযোগ্য আকারে প্রক্রিয়া সম্পর্কে বিস্তারিত তথ্য

আপনি শুধুমাত্র কমান্ড লাইন দেখতে পান না, ফাইলের নাম, এক্সিকিউটেবল অ্যাপ্লিকেশনের পথ, উইন্ডোজ এটি সম্পর্কে কী জানে ("উইন্ডোজ কমান্ড প্রসেসর"), শনাক্তকারী পিতামাতার প্রক্রিয়া, কমান্ড লাইন অভিভাবক, যা cmd শেল চালু করেছে, সেইসাথে মূল প্রক্রিয়ার আসল ফাইলের নাম। সব এক জায়গায়, অবশেষে!
সিসমন লগ থেকে, আমরা উপসংহারে আসতে পারি যে এই সন্দেহজনক কমান্ড লাইনটি উচ্চ মাত্রার সম্ভাব্যতার সাথে, যা আমরা "কাঁচা" লগগুলিতে দেখেছি, এটি কর্মচারীর স্বাভাবিক কাজের ফলাফল নয়। বরং, এটি একটি C2-এর মতো প্রক্রিয়া দ্বারা উত্পন্ন হয়েছিল - wmiexec, যেমনটি আমি আগে উল্লেখ করেছি - এবং সরাসরি পরিষেবার WMI প্রক্রিয়া (WmiPrvSe) দ্বারা উদ্ভূত হয়েছিল। এখন আমাদের কাছে একটি সূচক রয়েছে যে একটি দূরবর্তী আক্রমণকারী বা অভ্যন্তরীণ একটি দাঁতের জন্য কর্পোরেট অবকাঠামো চেষ্টা করছে।

Get-Sysmonlogs প্রবর্তন করা হচ্ছে

অবশ্যই, যখন সিসমনের এক জায়গায় লগ থাকে তখন এটি দুর্দান্ত। তবে এটি সম্ভবত আরও ভাল হবে যদি আমরা প্রোগ্রামগতভাবে পৃথক লগ ক্ষেত্রগুলি অ্যাক্সেস করতে পারি - উদাহরণস্বরূপ, পাওয়ারশেল কমান্ডের মাধ্যমে। এই ক্ষেত্রে, একটি ছোট পাওয়ারশেল স্ক্রিপ্ট লেখা সম্ভব হবে যা সম্ভাব্য হুমকির জন্য অনুসন্ধান স্বয়ংক্রিয় করবে!
আমি এই ধারণা প্রথম ছিল না. এবং এটা ভাল যে কিছু ফোরাম পোস্ট এবং GitHub প্রকল্প সিসমন লগ পার্স করার জন্য পাওয়ারশেল কীভাবে ব্যবহার করবেন তা ইতিমধ্যেই ব্যাখ্যা করা হয়েছে। আমার ক্ষেত্রে, আমি প্রতিটি সিসমন ক্ষেত্রের জন্য পার্সিং স্ক্রিপ্টের পৃথক লাইন লিখতে এড়াতে চেয়েছিলাম। তাই আমি অলস পুরুষ নীতিটি ব্যবহার করেছি এবং আমি মনে করি ফলাফল হিসাবে আমি আকর্ষণীয় কিছু নিয়ে এসেছি।
প্রথম গুরুত্বপূর্ণ পয়েন্ট কমান্ডের ক্ষমতা গেট-উইনভেন্ট সিসমন লগগুলি পড়ুন, প্রয়োজনীয় ইভেন্টগুলি ফিল্টার করুন এবং ফলাফলটি একটি PS ভেরিয়েবলে প্রদর্শন করুন, যেমন:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

আপনি যদি কমান্ডটি নিজে পরীক্ষা করতে চান, $events অ্যারে, $events[0].বার্তার প্রথম উপাদানে বিষয়বস্তু প্রদর্শন করে, আপনি একটি খুব সাধারণ বিন্যাসে পাঠ্য স্ট্রিংগুলির একটি সিরিজ আউটপুট করতে পারেন: সিসমনের নাম ক্ষেত্র, একটি কোলন, এবং তারপর মান নিজেই।

হুররে! JSON-প্রস্তুত বিন্যাসে Sysmon লগ আউটপুট

আপনি কি আমার মত একই জিনিস ভাবছেন? একটু বেশি প্রচেষ্টার সাথে, আপনি আউটপুটটিকে একটি JSON-ফরম্যাটেড স্ট্রিং-এ রূপান্তর করতে পারেন এবং তারপর শক্তিশালী কমান্ডের সাহায্যে এটি সরাসরি একটি PS অবজেক্টে লোড করতে পারেন। ConvertFrom-Json .
আমি রূপান্তরের জন্য PowerShell কোড দেখাব - এটি খুব সহজ - পরবর্তী অংশে। আপাতত, আসুন দেখি আমার নতুন কমান্ড যাকে get-sysmonlogs বলা হয়, যা আমি একটি PS মডিউল হিসাবে ইনস্টল করেছি, তা করতে পারে।
বিশ্রী ইভেন্ট লগ ইন্টারফেসের মাধ্যমে সিসমন লগ বিশ্লেষণের গভীরে খনন করার পরিবর্তে, আমরা অনায়াসে পাওয়ারশেল সেশন থেকে সরাসরি ক্রমবর্ধমান কার্যকলাপ অনুসন্ধান করতে পারি এবং PS কমান্ড ব্যবহার করতে পারি। কোথায় (ওরফে - "?") অনুসন্ধান ফলাফল ছোট করতে:

WMI এর মাধ্যমে চালু করা cmd শেলগুলির তালিকা৷ আমাদের নিজস্ব Get-Sysmonlogs টিমের সাথে সস্তার হুমকি বিশ্লেষণ

বিস্ময়কর! আমি একটি সিসমন লগ পোলিং টুল তৈরি করেছি যেন এটি একটি ডাটাবেস। সম্পর্কে আমাদের নিবন্ধে বিহ্বল করা এটি উল্লেখ করা হয়েছিল যে এই ফাংশনটি এতে বর্ণিত দুর্দান্ত ইউটিলিটি দ্বারা সঞ্চালিত হবে, যদিও আনুষ্ঠানিকভাবে একটি বাস্তব এসকিউএল-এর মতো ইন্টারফেসের মাধ্যমে। হ্যাঁ, ইসিএল graceful, কিন্তু আমরা তৃতীয় অংশে এটি স্পর্শ করব।

সিসমন এবং গ্রাফ বিশ্লেষণ

এর বিমূর্ত এবং চিন্তা করা যাক আমরা কি তৈরি করেছি। মূলত, আমাদের কাছে এখন পাওয়ারশেলের মাধ্যমে অ্যাক্সেসযোগ্য একটি উইন্ডোজ ইভেন্ট ডেটাবেস রয়েছে। যেমনটি আমি আগে উল্লেখ করেছি, রেকর্ডগুলির মধ্যে সংযোগ বা সম্পর্ক রয়েছে - ParentProcessId-এর মাধ্যমে - যাতে আপনি প্রক্রিয়াগুলির একটি সম্পূর্ণ শ্রেণিবিন্যাস পেতে পারেন।

আপনি যদি সিরিজটি পড়ে থাকেন "অধরা মালভারির অ্যাডভেঞ্চারস" তাহলে আপনি জানেন যে হ্যাকাররা জটিল বহু-পর্যায়ের আক্রমণ তৈরি করতে পছন্দ করে যাতে প্রতিটি প্রক্রিয়া তার ছোট ভূমিকা পালন করে এবং পরবর্তী ধাপের জন্য একটি স্প্রিংবোর্ড প্রস্তুত করে। এই জাতীয় জিনিসগুলি কেবল "কাঁচা" লগ থেকে ধরা অত্যন্ত কঠিন।
কিন্তু আমার Get-Sysmonlogs কমান্ড এবং একটি অতিরিক্ত ডেটা স্ট্রাকচারের সাহায্যে যা আমরা পরে পাঠ্যটিতে দেখব (একটি গ্রাফ, অবশ্যই), আমাদের কাছে হুমকি সনাক্ত করার একটি ব্যবহারিক উপায় রয়েছে - যা প্রয়োজন তা হল একটি সঠিক শীর্ষবিন্দু অনুসন্ধান করা .
আমাদের DYI ব্লগ প্রজেক্টে বরাবরের মতো, আপনি যত বেশি ছোট স্কেলে হুমকির বিশদ বিশ্লেষণে কাজ করবেন, ততই আপনি বুঝতে পারবেন যে সংগঠন পর্যায়ে হুমকি সনাক্ত করা কতটা কঠিন। এবং এই উপলব্ধি অত্যন্ত গুরুত্বপূর্ণ পয়েন্ট.

আমরা নিবন্ধের দ্বিতীয় অংশে প্রথম আকর্ষণীয় জটিলতার মুখোমুখি হব, যেখানে আমরা সিসমন ইভেন্টগুলিকে একে অপরের সাথে আরও জটিল কাঠামোতে সংযুক্ত করতে শুরু করব।

উত্স: www.habr.com