{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kann jetzt den Inhalt der Zwischenablage aufzeichnen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Am 17. September wurde der Release der Version 12 von Sysmon angek\u00fcndigt auf der Sysinternals-Seite.<\/a><\/noindex>Tats\u00e4chlich wurden an diesem Tag auch neue Versionen von Process Monitor und ProcDump ver\u00f6ffentlicht. In diesem Artikel werde ich \u00fcber die Schl\u00fcsselneuheit und die umstrittene Einf\u00fchrung in die Version 12 von Sysmon sprechen \u2013 den Ereignistyp mit der Event ID 24, der die Arbeit mit der Zwischenablage protokolliert.<\/p>\n

\"Sysmon
\n
\nDie Informationen aus diesem Ereignistyp er\u00f6ffnen neue M\u00f6glichkeiten zur \u00dcberwachung verd\u00e4chtiger Aktivit\u00e4ten (und auch neue Schwachstellen). So werden Sie verstehen, wer, wo und was genau versucht hat, zu kopieren. Im Folgenden beschreibe ich einige Felder des neuen Ereignisses und gebe ein paar Anwendungsf\u00e4lle an.
\n<\/a><\/noindex>
\nDas neue Ereignis enth\u00e4lt die folgenden Felder:<\/p>\n

Image:<\/b> der Prozess, dessen Daten in die Zwischenablage geschrieben wurden.
\nSession:<\/b> die Sitzung, in der der Schreibvorgang in die Zwischenablage durchgef\u00fchrt wurde. Dies kann system(0) sein
\n bei der Arbeit im interaktiven oder Remote-Modus usw.
\nClientInfo:<\/b> enth\u00e4lt den Benutzernamen der Sitzung und im Falle eines Remote-Teams den urspr\u00fcnglichen Hostnamen und die IP-Adresse, falls diese Informationen verf\u00fcgbar sind.
\nHashes:<\/b> bestimmt den Namen der Datei, in der der kopierte Text gespeichert wurde (\u00e4hnlich wie bei Ereignissen vom Typ FileDelete).
\nArchived:<\/b> der Status, ob der Text aus der Zwischenablage im Archivverzeichnis von Sysmon gespeichert wurde.<\/p>\n

Die letzten beiden Felder sorgen f\u00fcr Besorgnis. Die Tatsache ist, dass Sysmon seit Version 11 (bei entsprechenden Einstellungen) verschiedene Daten in seinem Archivverzeichnis speichern kann. Zum Beispiel protokolliert Event ID 23 die Ereignisse des Dateil\u00f6schens und kann sie ebenfalls im selben Archivverzeichnis speichern. Den Dateinamen, der durch die Arbeit mit der Zwischenablage erstellt wurde, wird das Tag CLIP hinzugef\u00fcgt. Die Dateien selbst enthalten die genauen Daten, die in die Zwischenablage kopiert wurden.<\/p>\n

So sieht die gespeicherte Datei aus.<\/b>
\n \"Sysmon<\/p>\n

\nDas Speichern in eine Datei wird bei der Installation aktiviert. Es k\u00f6nnen Prozess-Whitelistungen eingerichtet werden, f\u00fcr die der Text nicht gespeichert wird.<\/p>\n

So sieht die Installation von Sysmon mit entsprechender Einstellung des Archivverzeichnisses aus:<\/b>
\n \"Sysmon<\/p>\n

\nHier denke ich, dass wir an Passwortmanager erinnern sollten, die ebenfalls die Zwischenablage nutzen. Die Anwesenheit von Sysmon im System mit einem Passwortmanager erm\u00f6glicht es Ihnen (oder einem Angreifer), diese Passw\u00f6rter zu erfassen. Wenn man annimmt, dass bekannt ist, welcher Prozess den kopierten Text allokiert (was nicht immer der Passwortmanager selbst ist, sondern m\u00f6glicherweise ein svchost-Prozess), kann diese Ausnahme zur Whitelist hinzugef\u00fcgt werden, um sie nicht zu speichern.<\/p>\n

Vielleicht wussten Sie es nicht, aber der Text aus der Zwischenablage wird von dem Remote-Server erfasst, sobald Sie im RDP-Sitzungsmodus darauf umschalten. Wenn Sie etwas in der Zwischenablage haben und zwischen RDP-Sitzungen wechseln, wird diese Information mit Ihnen reisen.<\/p>\n

Lassen Sie uns die M\u00f6glichkeiten von Sysmon im Umgang mit der Zwischenablage zusammenfassen.<\/p>\n

Erfasst werden:<\/p>\n