{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"K\u00e4ivitame Windowsis kahtlaste protsesside k\u00e4ivitumise s\u00fcndmuste kogumise ja tuvastame ohud Quest InTrust abil","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"K\u00e4ivitame
\n
\n\u00dcks levinumaid r\u00fcndeviise on pahatahtliku protsessi k\u00e4ivitamine t\u00e4iesti seaduslike protsesside puust. Kahtlust v\u00f5ib tekitada t\u00e4itmisfaili tee: pahavara kasutab tihti AppData v\u00f5i Temp kaustu, mis ei ole t\u00fc\u00fcpilised seaduslike programmide jaoks. Aususe nimel tuleb siiski m\u00e4rkida, et m\u00f5ned automaatse v\u00e4rskendamise t\u00f6\u00f6riistad k\u00e4ivitatakse AppDatas, seega ainult k\u00e4ivitamise koha kontrollimine ei ole piisav, et v\u00e4ita, et programm on pahatahtlik.<\/p>\n

Lisakriteerium seaduslikkuse hindamiseks on kr\u00fcptograafiline allkiri: paljud originaalprogrammid on allkirjastatud m\u00fc\u00fcja poolt. Allkirja puudumist saab kasutada kahtlastest k\u00e4ivitamiselementidest teavitamise meetodina. Kuid taas, on ka pahavara, mis kasutab varastatud sertifikaati enda allkirjastamiseks.<\/p>\n

Samuti on v\u00f5imalik kontrollida MD5 v\u00f5i SHA256 kr\u00fcptograafiliste r\u00e4si v\u00e4\u00e4rtusi, mis v\u00f5ivad vastata m\u00f5nedele varasemale avastatud pahavara t\u00fc\u00fcbidele. Saate l\u00e4bi viia staatilist anal\u00fc\u00fcsi, uurides programmi signatuure (kasutades Yara reegleid v\u00f5i viirust\u00f5rjetooteid). Lisaks on olemas d\u00fcnaamiline anal\u00fc\u00fcs (programmi k\u00e4itamine mingis ohutus keskkonnas ja selle k\u00e4itumise j\u00e4lgimine) ning tagasip\u00f6\u00f6ramine.<\/p>\n

Ohtlike protsesside tunnuseid v\u00f5ib olla palju. Selles artiklis r\u00e4\u00e4gime sellest, kuidas lubada vastavaid s\u00fcndmuste audit Windowsis, k\u00e4sitleme m\u00e4rke, millele toetub sisseehitatud reegel InTrust<\/a><\/noindex> suspicious process\u2019i tuvastamiseks. InTrust on CLM-platvorm<\/a><\/noindex> struktuurimata andmete kogumiseks, anal\u00fc\u00fcsimiseks ja s\u00e4ilitamiseks, millel on juba sadu eelnevalt seadistatud reageeringuid erinevatele r\u00fcnnakut\u00fc\u00fcpidele.
\n<\/a><\/noindex>
\nProgrammi k\u00e4ivitamisel laaditakse see arvutisse m\u00e4lu. T\u00e4itmisfail sisaldab arvutijuhiseid ja abiraamatukogusid (n\u00e4iteks *.dll). Kui protsess on juba k\u00e4ivitatud, v\u00f5ib see luua t\u00e4iendavaid aktiivseid l\u00f5ngasid. L\u00f5ngad v\u00f5imaldavad protsessil korraga t\u00e4ita erinevaid juhiste komplekte. Kahjustava koodi m\u00e4llu sisenemiseks ja selle k\u00e4ivitamiseks on palju viise, vaadake m\u00f5ningaid neist.<\/p>\n

Lihtsaim viis kahjuliku protsessi k\u00e4ivitamiseks on panna kasutaja seda otse k\u00e4ivitama (n\u00e4iteks e-kirja manusest) ja seej\u00e4rel k\u00e4ivitada see iga kord, kui arvuti sisse l\u00fclitatakse, kasutades RunOnce v\u00f5tmeid. Siia alla kuulub ka \"failivaba\" pahavara, mis salvestab PowerShelli skriptid registri v\u00f5tmetesse, mis k\u00e4ivitatakse p\u00e4\u00e4stikute p\u00f5hjal. Selles olukorras on PowerShelli skript kahjulik kood.<\/p>\n

Kahjulikku tarkvara avatud k\u00e4ivitamisel on probleem selles, et see on teadaolev l\u00e4henemine, mis on kergesti avastatav. M\u00f5ned kahjulikud programmid proovivad keerukamaid meetodeid, n\u00e4iteks kasutavad nad muud protsessi, et k\u00e4ivitada m\u00e4lu. Seet\u00f5ttu v\u00f5ib protsess luua teise protsessi, k\u00e4ivitades teatud arvutijuhiseid ja m\u00e4\u00e4rates k\u00e4ivitatava faili (.exe) k\u00e4ivitamiseks.<\/p>\n

Faili saab m\u00e4\u00e4rata, kasutades t\u00e4ielikku teed (n\u00e4iteks C:Windowsystem32cmd.exe) v\u00f5i l\u00fchikest (n\u00e4iteks cmd.exe). Kui algne protsess ei ole turvaline, v\u00f5imaldab see k\u00e4ivitada ebaseaduslikke programme. R\u00fcnnak v\u00f5ib v\u00e4lja n\u00e4ha j\u00e4rgmiselt: protsess k\u00e4ivitab cmd.exe ilma t\u00e4ieliku teeta, r\u00fcndaja paigutab oma cmd.exe sellisesse kohta, et protsess k\u00e4ivitaks selle enne seaduslikku faili. P\u00e4rast kahjuliku programmi k\u00e4ivitamist v\u00f5ib see n\u00e4iteks k\u00e4ivitada seadusliku programmi (nt C:Windowsystem32cmd.exe), et algne programm j\u00e4tkaks n\u00f5uetekohaselt t\u00f6\u00f6tamist.<\/p>\n

Eelmine r\u00fcnnakute variant on DLL-s\u00fcstimine seaduslikku protsessi. Kui protsess k\u00e4ivitatakse, leiab see ja laadib teeke, mis laiendavad selle funktsionaalsust. Kasutades DLL-s\u00fcstimist, loob kurjategija pahatahtliku teegi, millel on sama nimi ja API nagu seaduslikul. Programm laadib pahatahtliku teegi, mis omakorda laadib seadusliku ja vajadusel kutsub selle \u00fcles toimingute sooritamiseks. Pahatahtlik teek hakkab toimima vahendajana hea teegi jaoks.<\/p>\n

Teine viis pahatahtliku koodi m\u00e4lu sisestamiseks on selle lisamine ebaturvalisse protsessi, mis juba t\u00f6\u00f6tab. Protsessid saavad sisendi erinevatest allikatest \u2014 loevad v\u00f5rgust v\u00f5i failidest. Tavaliselt kontrollivad nad, et tagada sisendi seaduslikkus. Kuid m\u00f5ned protsessid ei omada piisavat kaitset k\u00e4skude t\u00e4itmisel. Sellise r\u00fcnnaku korral ei eksisteeri kettal teeki v\u00f5i k\u00e4ivitatavat faili pahatahtliku koodiga. K\u00f5ik hoitakse m\u00e4lus koos \u00e4ra kasutatava protsessiga.<\/p>\n

N\u00fc\u00fcd uurime, kuidas aktiveerida sarnaste s\u00fcndmuste kogumist Windowsis ja reeglit InTrustis, mis rakendab selliste ohtude kaitset. Alustame selle aktiveerimist InTrusti halduskeskkonna kaudu.<\/p>\n

\"K\u00e4ivitame
\n
\nReegel kasutab Windowsi operatsioonis\u00fcsteemi protsesside j\u00e4lgimise v\u00f5imalusi. Kahjuks pole selliste s\u00fcndmuste kogumise lubamine sugugi ilmne. Tuleb muuta kolme erinevat r\u00fchmapoliitika seadet:<\/p>\n

Arvuti konfiguratsioon > Poliitikad > Windowsi seaded > Turvaseaded > Kohalikud poliitikad > Auditipoliitika > Auditiprotsesside j\u00e4lgimine<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nArvuti konfiguratsioon > Poliitikad > Windowsi seaded > Turvaseaded > T\u00e4iustatud auditipoliitika konfiguratsioon > Auditipoliitikad > \u00dcksikasjalik j\u00e4lgimine > Auditiprotsessi loomine<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nArvuti konfiguratsioon > Poliitikad > Hallatavad mallid > S\u00fcsteem > Auditiprotsessi loomine > Kaasa k\u00e4surea protsessi loomise s\u00fcndmustesse<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nP\u00e4rast lubamist v\u00f5imaldavad InTrusti reeglid avastada varem tundmatuid ohte, mis n\u00e4itavad kahtlast k\u00e4itumist. N\u00e4iteks on v\u00f5imalik tuvastada siin kirjeldatud<\/a><\/noindex> kahjulikku tarkvara Dridex. T\u00e4nu HP Bromiumi projektile on teada, kuidas selline oht t\u00f6\u00f6tab.<\/p>\n

\"K\u00e4ivitame
\n
\nDridex kasutab oma tegevustes schtasks.exe, et luua ajastatud \u00fclesanne. Selle k\u00e4surea utiliidi kasutamine loetakse v\u00e4ga kahtlaseks k\u00e4itumiseks, sarnaselt n\u00e4eb v\u00e4lja svchost.exe k\u00e4ivitamine parameetritega, mis viitavad kasutajate kaustadele v\u00f5i parameetritega, mis sarnanevad k\u00e4skudega \u00abnet view\u00bb v\u00f5i \u00abwhoami\u00bb. Siin on vastava fragment. SIGMA reegel<\/a><\/noindex>:<\/p>\n

tugevus:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    tingimus: 1 neist<\/code><\/pre>\n
\nInTrustis on kogu kahtlane k\u00e4itumine koondatud \u00fchte reeglisse, kuna enamik neist tegevustest ei ole spetsiifilised m\u00f5nele konkreetsele ohule, vaid pigem on need kahtlased koos ja 99% juhtudest kasutatakse neid mitte just auv\u00e4\u00e4rsetel eesm\u00e4rkidel. Selline tegevuste loetelu sisaldab, kuid ei piirdu:<\/p>\n