Sysmon এখন ক্লিপবোর্ডের বিষয়বস্তু লিখতে পারে

Sysmon এর 12 সংস্করণ প্রকাশের ঘোষণা করা হয়েছিল সেপ্টেম্বর 17 এ Sysinternals পাতা. আসলে, প্রসেস মনিটর এবং প্রোকডাম্পের নতুন সংস্করণগুলিও এই দিনে প্রকাশিত হয়েছিল। এই নিবন্ধে আমি সিসমনের সংস্করণ 12-এর মূল এবং বিতর্কিত উদ্ভাবন সম্পর্কে কথা বলব - ইভেন্ট আইডি 24-এর সাথে ইভেন্টের ধরন, যাতে ক্লিপবোর্ডের সাথে কাজ করা হয়।

এই ধরনের ইভেন্ট থেকে তথ্য সন্দেহজনক কার্যকলাপ (পাশাপাশি নতুন দুর্বলতা) নিরীক্ষণের নতুন সুযোগ উন্মুক্ত করে। সুতরাং, আপনি বুঝতে পারবেন কে, কোথায় এবং ঠিক কী তারা অনুলিপি করার চেষ্টা করেছিল। কাটের নীচে নতুন ইভেন্টের কিছু ক্ষেত্রের বিবরণ এবং কয়েকটি ব্যবহারের ক্ষেত্রে রয়েছে।

নতুন ইভেন্টে নিম্নলিখিত ক্ষেত্রগুলি রয়েছে:

চিত্র: যে প্রক্রিয়া থেকে ডেটা ক্লিপবোর্ডে লেখা হয়েছিল।
সেশন: যে সেশনে ক্লিপবোর্ড লেখা হয়েছিল। এটা সিস্টেম হতে পারে(0)
অনলাইনে বা দূরবর্তীভাবে কাজ করার সময়, ইত্যাদি
গ্রাহকের তথ্য: সেশন ব্যবহারকারীর নাম এবং, একটি দূরবর্তী সেশনের ক্ষেত্রে, মূল হোস্টনাম এবং IP ঠিকানা, যদি উপলব্ধ থাকে।
হ্যাশ: ফাইলের নাম নির্ধারণ করে যেখানে অনুলিপি করা পাঠ্য সংরক্ষিত হয়েছিল (ফাইলডিলিট ধরণের ইভেন্টগুলির সাথে কাজ করার অনুরূপ)।
সংরক্ষণাগারভুক্ত: স্থিতি, ক্লিপবোর্ডের পাঠ্য Sysmon আর্কাইভ ডিরেক্টরিতে সংরক্ষণ করা হয়েছে কিনা।

ক্ষেত্রগুলোর শেষ কয়েকটা আশঙ্কাজনক। আসল বিষয়টি হল যেহেতু সংস্করণ 11 সিসমন (উপযুক্ত সেটিংস সহ) তার সংরক্ষণাগার ডিরেক্টরিতে বিভিন্ন ডেটা সংরক্ষণ করতে পারে। উদাহরণস্বরূপ, ইভেন্ট আইডি 23 ফাইল মুছে ফেলার ঘটনাগুলি লগ করে এবং সেগুলিকে একই আর্কাইভ ডিরেক্টরিতে সংরক্ষণ করতে পারে। ক্লিপবোর্ডের সাথে কাজ করার ফলে তৈরি করা ফাইলের নামের সাথে CLIP ট্যাগ যোগ করা হয়। ফাইলগুলি নিজেই ক্লিপবোর্ডে অনুলিপি করা সঠিক ডেটা ধারণ করে।

সংরক্ষিত ফাইলটি দেখতে এইরকম

ইনস্টলেশনের সময় একটি ফাইল সংরক্ষণ সক্রিয় করা হয়. আপনি প্রক্রিয়াগুলির সাদা তালিকা সেট করতে পারেন যার জন্য পাঠ্য সংরক্ষণ করা হবে না।

উপযুক্ত আর্কাইভ ডিরেক্টরি সেটিংসের সাথে সিসমন ইনস্টলেশনটি এইরকম দেখায়:

এখানে, আমি মনে করি, ক্লিপবোর্ড ব্যবহার করে এমন পাসওয়ার্ড পরিচালকদের মনে রাখা মূল্যবান। একটি পাসওয়ার্ড ম্যানেজার সহ একটি সিস্টেমে Sysmon থাকা আপনাকে (বা আক্রমণকারীকে) সেই পাসওয়ার্ডগুলি ক্যাপচার করার অনুমতি দেবে। ধরে নিই যে আপনি জানেন কোন প্রক্রিয়াটি অনুলিপি করা পাঠ্য বরাদ্দ করছে (এবং এটি সর্বদা পাসওয়ার্ড ম্যানেজার প্রক্রিয়া নয়, তবে কিছু svchost) এই ব্যতিক্রমটি সাদা তালিকায় যোগ করা যেতে পারে এবং সংরক্ষণ করা যাবে না।

আপনি হয়তো জানেন না, কিন্তু আপনি যখন RDP সেশন মোডে স্যুইচ করেন তখন ক্লিপবোর্ড থেকে পাঠ্যটি রিমোট সার্ভার দ্বারা ক্যাপচার করা হয়। যদি আপনার ক্লিপবোর্ডে কিছু থাকে এবং আপনি RDP সেশনগুলির মধ্যে স্যুইচ করেন, সেই তথ্য আপনার সাথে ভ্রমণ করবে।

ক্লিপবোর্ডের সাথে কাজ করার জন্য Sysmon এর ক্ষমতার সংক্ষিপ্ত বিবরণ দেওয়া যাক।

স্থির:

• আরডিপির মাধ্যমে এবং স্থানীয়ভাবে আটকানো পাঠ্যের টেক্সট কপি;
• বিভিন্ন ইউটিলিটি/প্রসেস দ্বারা ক্লিপবোর্ড থেকে ডেটা ক্যাপচার করা;
• স্থানীয় ভার্চুয়াল মেশিন থেকে/তে টেক্সট কপি/পেস্ট করুন, এমনকি যদি এই টেক্সটটি এখনও আটকানো না হয়।

রেকর্ড করা হয়নি:

• স্থানীয় ভার্চুয়াল মেশিন থেকে/তে ফাইল কপি/পেস্ট করা;
• RDP এর মাধ্যমে ফাইল কপি/পেস্ট করুন
• আপনার ক্লিপবোর্ড হাইজ্যাক করে এমন একটি ম্যালওয়্যার শুধুমাত্র ক্লিপবোর্ডেই লিখে।

এর অস্পষ্টতা সত্ত্বেও, এই ধরনের ইভেন্ট আপনাকে আক্রমণকারীর অ্যালগরিদম অ্যাকশন পুনরুদ্ধার করতে এবং আক্রমণের পরে পোস্ট-মর্টেম গঠনের জন্য পূর্বে অ্যাক্সেসযোগ্য ডেটা সনাক্ত করতে সহায়তা করবে। যদি ক্লিপবোর্ডে লেখার বিষয়বস্তু এখনও সক্রিয় থাকে, তবে সংরক্ষণাগার ডিরেক্টরিতে প্রতিটি অ্যাক্সেস রেকর্ড করা এবং সম্ভাব্য বিপজ্জনকগুলি সনাক্ত করা গুরুত্বপূর্ণ (sysmon.exe দ্বারা শুরু করা হয়নি)।

উপরে তালিকাভুক্ত ইভেন্টগুলি রেকর্ড করতে, বিশ্লেষণ করতে এবং প্রতিক্রিয়া জানাতে, আপনি টুলটি ব্যবহার করতে পারেন InTrust, যা তিনটি পন্থাকে একত্রিত করে এবং উপরন্তু, সমস্ত সংগৃহীত কাঁচা ডেটার একটি কার্যকর কেন্দ্রীভূত সংগ্রহস্থল। আমরা জনপ্রিয় SIEM সিস্টেমের সাথে এর ইন্টিগ্রেশন কনফিগার করতে পারি যাতে InTrust-এ কাঁচা ডেটার প্রক্রিয়াকরণ এবং সঞ্চয়স্থান স্থানান্তর করে তাদের লাইসেন্সের খরচ কমাতে পারি।

InTrust সম্পর্কে আরও জানতে, আমাদের পূর্ববর্তী নিবন্ধগুলি পড়ুন বা প্রতিক্রিয়া ফর্ম একটি অনুরোধ ছেড়ে.

কিভাবে একটি SIEM সিস্টেমের মালিকানার খরচ কমাতে হয় এবং কেন আপনার সেন্ট্রাল লগ ম্যানেজমেন্ট (CLM) প্রয়োজন

আমরা Windows-এ সন্দেহজনক প্রসেস চালু করার বিষয়ে ইভেন্ট সংগ্রহ সক্ষম করি এবং Quest InTrust ব্যবহার করে হুমকি শনাক্ত করি

কিভাবে InTrust RDP-এর মাধ্যমে ব্যর্থ অনুমোদন প্রচেষ্টার হার কমাতে সাহায্য করতে পারে

আমরা একটি র্যানসমওয়্যার আক্রমণ সনাক্ত করি, ডোমেন কন্ট্রোলারে অ্যাক্সেস পাই এবং এই আক্রমণগুলিকে প্রতিহত করার চেষ্টা করি

উইন্ডোজ-ভিত্তিক ওয়ার্কস্টেশনের লগগুলি থেকে কী দরকারী জিনিসগুলি বের করা যেতে পারে? (জনপ্রিয় নিবন্ধ)

কে এটা করেছিল? আমরা তথ্য নিরাপত্তা অডিট স্বয়ংক্রিয়

উত্স: www.habr.com