Am 17. September wurde über die Version 12 von Sysmon berichtet auf . An diesem Tag wurden tatsächlich auch neue Versionen von Process Monitor und ProcDump veröffentlicht. In diesem Artikel bespreche ich die Schlüsseländerung der Version 12 von Sysmon — den Ereignistyp mit Event ID 24, der die Interaktion mit der Zwischenablage protokolliert.
Die Informationen aus diesem Ereignistyp eröffnen neue Möglichkeiten zur Kontrolle verdächtiger Aktivitäten (sowie neue Schwachstellen). So können Sie nachvollziehen, wer, wo und was genau versucht hat zu kopieren. Im Folgenden finden Sie eine Beschreibung einiger Felder des neuen Ereignisses sowie einige Anwendungsfälle.
Das neue Ereignis enthält folgende Felder:
Image: der Prozess, dessen Daten in die Zwischenablage geschrieben wurden.
Session: der Sitzung, in der die Aufnahme in die Zwischenablage erfolgte. Dies kann system(0) sein
bei interaktiver oder remote Nutzung usw.
ClientInfo: enthält den Benutzernamen der Sitzung und im Falle einer Remote-Session die Ursprungshostnamen und die IP-Adresse, sofern diese verfügbar sind.
Hashes: bestimmt den Dateinamen, in dem der kopierte Text gespeichert wurde (ähnlich wie bei Ereignissen des Typs FileDelete).
Archived: Status, ob der Text aus der Zwischenablage im Archivverzeichnis von Sysmon gespeichert wurde.
Die letzten beiden Felder sorgen für Besorgnis. Ab Version 11 kann Sysmon (bei entsprechenden Einstellungen) unterschiedliche Daten in seinem Archivverzeichnis speichern. Beispielsweise protokolliert Event ID 23 Ereignisse zum Löschen von Dateien und kann sie im gleichen Archivverzeichnis speichern. Dem Namen der Dateien, die durch die Arbeit mit der Zwischenablage erstellt wurden, wird das Tag CLIP hinzugefügt. Die Dateien enthalten die genauen Daten, die in die Zwischenablage kopiert wurden.
So sieht die gespeicherte Datei aus
Das Speichern in eine Datei wird bei der Installation aktiviert. Es können Prozess-Whitelists eingerichtet werden, für die der Text nicht gespeichert wird.
So sieht die Installation von Sysmon mit den entsprechenden Einstellungen für das Archivverzeichnis aus:
Hier sollten wir an Passwortmanager denken, die ebenfalls die Zwischenablage nutzen. Das Vorhandensein von Sysmon in einem System mit einem Passwortmanager ermöglicht es Ihnen (oder einem Angreifer), diese Passwörter abzufangen. Wenn Sie wissen, welcher Prozess den kopierten Text zuweist (und das ist nicht immer der Passwortmanager-Prozess, es könnte auch ein svchost sein), kann diese Ausnahme auf die Whitelist gesetzt werden, um sie nicht zu speichern.
Vielleicht wussten Sie es nicht, aber der Text aus der Zwischenablage wird von einem entfernten Server erfasst, wenn Sie im RDP-Sitzungsmodus darauf umschalten. Wenn Sie etwas in der Zwischenablage haben und zwischen RDP-Sitzungen wechseln, wird diese Information mit Ihnen reisen.
Lassen Sie uns die Möglichkeiten von Sysmon im Umgang mit der Zwischenablage zusammenfassen.
Erfasst werden:
- Textkopien des eingefügten Textes über RDP und lokal;
- Datenabgriff aus der Zwischenablage durch verschiedene Tools-Prozesse;
- Kopieren/Einfügen von Text mit/auf eine lokale virtuelle Maschine, selbst wenn dieser Text noch nicht eingefügt wurde.
Nicht erfasst werden:
- Kopieren/Einfügen von Dateien mit/auf eine lokale virtuelle Maschine;
- Kopieren/Einfügen von Dateien über RDP.
- Schadhafter Code, der Ihre Zwischenablage erfasst, schreibt ausschließlich in die Zwischenablage.
Trotz seiner Mehrdeutigkeit ermöglicht diese Art von Ereignissen die Rekonstruktion des Vorgehens des Angreifers und hilft, zuvor nicht zugängliche Daten für die Erstellung von Post-Mortem-Analysen nach Angriffen zu identifizieren. Wenn die Aufzeichnung des Inhalts in der Zwischenablage dennoch aktiviert ist, ist es wichtig, jeden Zugriff auf das Archivverzeichnis zu protokollieren und potenziell gefährliche Zugriffe (initiiert nicht von sysmon.exe) zu erkennen.
Zur Erfassung, Analyse und Reaktion auf die oben genannten Ereignisse kann das Tool , das alle drei Ansätze vereint und zudem als effizientes zentrales Repository aller gesammelten Rohdaten dient. Wir können seine Integration mit gängigen SIEM-Systemen einrichten, um die Lizenzkosten zu minimieren, indem die Verarbeitung und Speicherung der Rohdaten in InTrust verlagert wird.
Um mehr über InTrust zu erfahren, lesen Sie unsere vorherigen Artikel oder .
(beliebter Artikel)
Quelle: habr.com
