Am 17. September wurde der Release der Version 12 von Sysmon angekündigt auf Tatsächlich wurden an diesem Tag auch neue Versionen von Process Monitor und ProcDump veröffentlicht. In diesem Artikel werde ich über die Schlüsselneuheit und die umstrittene Einführung in die Version 12 von Sysmon sprechen – den Ereignistyp mit der Event ID 24, der die Arbeit mit der Zwischenablage protokolliert.
Die Informationen aus diesem Ereignistyp eröffnen neue Möglichkeiten zur Überwachung verdächtiger Aktivitäten (und auch neue Schwachstellen). So werden Sie verstehen, wer, wo und was genau versucht hat, zu kopieren. Im Folgenden beschreibe ich einige Felder des neuen Ereignisses und gebe ein paar Anwendungsfälle an.
Das neue Ereignis enthält die folgenden Felder:
Image: der Prozess, dessen Daten in die Zwischenablage geschrieben wurden.
Session: die Sitzung, in der der Schreibvorgang in die Zwischenablage durchgeführt wurde. Dies kann system(0) sein
bei der Arbeit im interaktiven oder Remote-Modus usw.
ClientInfo: enthält den Benutzernamen der Sitzung und im Falle eines Remote-Teams den ursprünglichen Hostnamen und die IP-Adresse, falls diese Informationen verfügbar sind.
Hashes: bestimmt den Namen der Datei, in der der kopierte Text gespeichert wurde (ähnlich wie bei Ereignissen vom Typ FileDelete).
Archived: der Status, ob der Text aus der Zwischenablage im Archivverzeichnis von Sysmon gespeichert wurde.
Die letzten beiden Felder sorgen für Besorgnis. Die Tatsache ist, dass Sysmon seit Version 11 (bei entsprechenden Einstellungen) verschiedene Daten in seinem Archivverzeichnis speichern kann. Zum Beispiel protokolliert Event ID 23 die Ereignisse des Dateilöschens und kann sie ebenfalls im selben Archivverzeichnis speichern. Den Dateinamen, der durch die Arbeit mit der Zwischenablage erstellt wurde, wird das Tag CLIP hinzugefügt. Die Dateien selbst enthalten die genauen Daten, die in die Zwischenablage kopiert wurden.
So sieht die gespeicherte Datei aus.
Das Speichern in eine Datei wird bei der Installation aktiviert. Es können Prozess-Whitelistungen eingerichtet werden, für die der Text nicht gespeichert wird.
So sieht die Installation von Sysmon mit entsprechender Einstellung des Archivverzeichnisses aus:
Hier denke ich, dass wir an Passwortmanager erinnern sollten, die ebenfalls die Zwischenablage nutzen. Die Anwesenheit von Sysmon im System mit einem Passwortmanager ermöglicht es Ihnen (oder einem Angreifer), diese Passwörter zu erfassen. Wenn man annimmt, dass bekannt ist, welcher Prozess den kopierten Text allokiert (was nicht immer der Passwortmanager selbst ist, sondern möglicherweise ein svchost-Prozess), kann diese Ausnahme zur Whitelist hinzugefügt werden, um sie nicht zu speichern.
Vielleicht wussten Sie es nicht, aber der Text aus der Zwischenablage wird von dem Remote-Server erfasst, sobald Sie im RDP-Sitzungsmodus darauf umschalten. Wenn Sie etwas in der Zwischenablage haben und zwischen RDP-Sitzungen wechseln, wird diese Information mit Ihnen reisen.
Lassen Sie uns die Möglichkeiten von Sysmon im Umgang mit der Zwischenablage zusammenfassen.
Erfasst werden:
- Textkopien des eingefügten Textes über RDP und lokal;
- Datenaufzeichnungen aus der Zwischenablage durch verschiedene Tools/Prozesse;
- Kopieren/Einfügen von Text mit/von einer lokalen virtuellen Maschine, selbst wenn dieser Text noch nicht eingefügt wurde.
Nicht erfasst werden:
- Kopieren/Einfügen von Dateien mit/von einer lokalen virtuellen Maschine;
- Kopieren/Einfügen von Dateien über RDP.
- Malware, die Ihre Zwischenablage erfasst, schreibt nur in die Zwischenablage selbst.
Trotz ihrer Mehrdeutigkeit ermöglicht diese Art von Ereignissen, den Handlungsablauf des Angreifers zu rekonstruieren und zuvor nicht verfügbare Daten für die Erstellung von Post-Mortems nach Angriffen zu identifizieren. Wenn die Aufzeichnung des Inhalts der Zwischenablage aktiviert ist, ist es wichtig, jeden Zugriff auf das Archivverzeichnis zu dokumentieren und potenziell gefährliche Zugriffe (die nicht von sysmon.exe initiiert wurden) zu erkennen.
Zur Erfassung, Analyse und Reaktion auf die oben genannten Ereignisse kann das Tool verwendet werden , das all drei Ansätze kombiniert und zudem ein effektives zentrales Repository für alle gesammelten Rohdaten darstellt. Wir können seine Integration mit gängigen SIEM-Systemen einrichten, um die Kosten für deren Lizenzierung zu minimieren, indem wir die Verarbeitung und Speicherung von Rohdaten nach InTrust übertragen.
Um mehr über InTrust zu erfahren, lesen Sie unsere vorherigen Artikel oder .
(beliebter Artikel)
Quelle: habr.com
