{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kan nu registrere indholdet af udklipsholderen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Om udgivelsen af version 12 af Sysmon blev der rapporteret den 17. september p\u00e5 Sysinternals siden<\/a><\/noindex>. Faktisk blev nye versioner af Process Monitor og ProcDump ogs\u00e5 udgivet den dag. I denne artikel vil jeg beskrive en central og tvetydig nyhed i version 12 af Sysmon \u2014 en type h\u00e6ndelse med Event ID 24, som logger brugerens interaktion med udklipsholderen.<\/p>\n

\"Sysmon
\n
\nOplysninger fra denne type h\u00e6ndelser \u00e5bner nye muligheder for kontrol over mist\u00e6nkelig aktivitet (samt nye s\u00e5rbarheder). Du vil kunne forst\u00e5, hvem der, hvorfra, og hvad der blev fors\u00f8gt kopieret. Nedenfor er en beskrivelse af nogle felter i den nye h\u00e6ndelse og et par anvendelsesscenarier.
\n<\/a><\/noindex>
\nDen nye h\u00e6ndelse indeholder f\u00f8lgende felter:<\/p>\n

Image:<\/b> processen, hvis data blev skrevet til udklipsholderen.
\nSession:<\/b> sessionen, hvor optegnelsen om udklipsholderadgang fandt sted. Dette kan v\u00e6re system(0)
\n n\u00e5r der arbejdes interaktivt eller p\u00e5 afstand osv.
\nClientInfo:<\/b> indeholder brugernavnet for sessionen, og i tilf\u00e6lde af en fjernsession \u2014 det originale v\u00e6rtsnavn og IP-adresse, hvis disse data er tilg\u00e6ngelige.
\nHashes:<\/b> bestemmer filnavnet, hvori den kopierede tekst er blevet gemt (analogt med h\u00e6ndelser af typen FileDelete).
\nArchived:<\/b> status, om teksten fra udklipsholderen er blevet gemt i Sysmon's arkivmappe.<\/p>\n

De sidste par felter v\u00e6kker bekymring. Det er fordi, at siden version 11 kan Sysmon (ved passende indstillinger) gemme forskellige data i sin arkivmappe. For eksempel logger Event ID 23 h\u00e6ndelser for sletning af filer og kan gemme dem alle i den samme arkivmappe. Filnavnene, der er oprettet som f\u00f8lge af arbejdet med udklipsholderen, f\u00e5r tilf\u00f8jet tagget CLIP. Filene selv indeholder de pr\u00e6cise data, der blev kopieret til udklipsholderen.<\/p>\n

S\u00e5dan ser den gemte fil ud<\/b>
\n \"Sysmon<\/p>\n

\nGemmes i fil ved installationen. Det er muligt at oprette hvidlister over processer, hvor tekst ikke vil blive gemt.<\/p>\n

S\u00e5dan ser installationen af Sysmon ud med den relevante ops\u00e6tning af arkivmappen:<\/b>
\n \"Sysmon<\/p>\n

\nHer t\u00e6nker jeg, vi b\u00f8r huske p\u00e5 adgangskodeadministratorer, som ogs\u00e5 bruger udklipsholderen. Tilstedev\u00e6relsen af Sysmon i systemet med en adgangskodeadministrator vil give dig (eller en angriber) mulighed for at opsnappe disse adgangskoder. Hvis man antager, at du er klar over, hvilken proces der allokerer den kopierede tekst (og det er ikke altid adgangskodeadministratorens proces, men m\u00e5ske en eller anden svchost), kan denne undtagelse tilf\u00f8jes til hvidlisten og ikke gemmes.<\/p>\n

M\u00e5ske vidste du ikke, at tekst fra udklipsholderen fanges af den fjernbetjente server, n\u00e5r du skifter til den i RDP-sessiontilstand. Hvis du har noget i udklipsholderen og skifter mellem RDP-sessioner, vil denne information f\u00f8lge med dig.<\/p>\n

Lad os opsummere Sysmons muligheder for at arbejde med udklipsholderen.<\/p>\n

Det registreres:<\/p>\n