{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kann jetzt den Inhalt der Zwischenablage protokollieren","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Am 17. September wurde \u00fcber die Version 12 von Sysmon berichtet auf der Sysinternals-Seite<\/a><\/noindex>. An diesem Tag wurden tats\u00e4chlich auch neue Versionen von Process Monitor und ProcDump ver\u00f6ffentlicht. In diesem Artikel bespreche ich die Schl\u00fcssel\u00e4nderung der Version 12 von Sysmon \u2014 den Ereignistyp mit Event ID 24, der die Interaktion mit der Zwischenablage protokolliert.<\/p>\n

\"Sysmon
\n
\nDie Informationen aus diesem Ereignistyp er\u00f6ffnen neue M\u00f6glichkeiten zur Kontrolle verd\u00e4chtiger Aktivit\u00e4ten (sowie neue Schwachstellen). So k\u00f6nnen Sie nachvollziehen, wer, wo und was genau versucht hat zu kopieren. Im Folgenden finden Sie eine Beschreibung einiger Felder des neuen Ereignisses sowie einige Anwendungsf\u00e4lle.
\n<\/a><\/noindex>
\nDas neue Ereignis enth\u00e4lt folgende Felder:<\/p>\n

Image:<\/b> der Prozess, dessen Daten in die Zwischenablage geschrieben wurden.
\nSession:<\/b> der Sitzung, in der die Aufnahme in die Zwischenablage erfolgte. Dies kann system(0) sein
\n bei interaktiver oder remote Nutzung usw.
\nClientInfo:<\/b> enth\u00e4lt den Benutzernamen der Sitzung und im Falle einer Remote-Session die Ursprungshostnamen und die IP-Adresse, sofern diese verf\u00fcgbar sind.
\nHashes:<\/b> bestimmt den Dateinamen, in dem der kopierte Text gespeichert wurde (\u00e4hnlich wie bei Ereignissen des Typs FileDelete).
\nArchived:<\/b> Status, ob der Text aus der Zwischenablage im Archivverzeichnis von Sysmon gespeichert wurde.<\/p>\n

Die letzten beiden Felder sorgen f\u00fcr Besorgnis. Ab Version 11 kann Sysmon (bei entsprechenden Einstellungen) unterschiedliche Daten in seinem Archivverzeichnis speichern. Beispielsweise protokolliert Event ID 23 Ereignisse zum L\u00f6schen von Dateien und kann sie im gleichen Archivverzeichnis speichern. Dem Namen der Dateien, die durch die Arbeit mit der Zwischenablage erstellt wurden, wird das Tag CLIP hinzugef\u00fcgt. Die Dateien enthalten die genauen Daten, die in die Zwischenablage kopiert wurden.<\/p>\n

So sieht die gespeicherte Datei aus<\/b>
\n \"Sysmon<\/p>\n

\nDas Speichern in eine Datei wird bei der Installation aktiviert. Es k\u00f6nnen Prozess-Whitelists eingerichtet werden, f\u00fcr die der Text nicht gespeichert wird.<\/p>\n

So sieht die Installation von Sysmon mit den entsprechenden Einstellungen f\u00fcr das Archivverzeichnis aus:<\/b>
\n \"Sysmon<\/p>\n

\nHier sollten wir an Passwortmanager denken, die ebenfalls die Zwischenablage nutzen. Das Vorhandensein von Sysmon in einem System mit einem Passwortmanager erm\u00f6glicht es Ihnen (oder einem Angreifer), diese Passw\u00f6rter abzufangen. Wenn Sie wissen, welcher Prozess den kopierten Text zuweist (und das ist nicht immer der Passwortmanager-Prozess, es k\u00f6nnte auch ein svchost sein), kann diese Ausnahme auf die Whitelist gesetzt werden, um sie nicht zu speichern.<\/p>\n

Vielleicht wussten Sie es nicht, aber der Text aus der Zwischenablage wird von einem entfernten Server erfasst, wenn Sie im RDP-Sitzungsmodus darauf umschalten. Wenn Sie etwas in der Zwischenablage haben und zwischen RDP-Sitzungen wechseln, wird diese Information mit Ihnen reisen.<\/p>\n

Lassen Sie uns die M\u00f6glichkeiten von Sysmon im Umgang mit der Zwischenablage zusammenfassen.<\/p>\n

Erfasst werden:<\/p>\n