{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon saab n\u00fc\u00fcd salvestada l\u00f5ikepildi sisu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

12. versiooni Sysmoni v\u00e4ljalaskmisest teavitati 17. septembril Sysinternals lehel<\/a><\/noindex>. T\u00f5epoolest, sel p\u00e4eval ilmusid ka uued versioonid Process Monitorist ja ProcDumpist. Selles artiklis r\u00e4\u00e4gin ma 12. versiooni Sysmoni olulisest ja vaieldavast uuendusest \u2014 s\u00fcndmustest, mille ID on 24, kus logitakse l\u00f5ikevahetuse tegevust.<\/p>\n

\"Sysmon
\n
\nSelle s\u00fcndmuse teave avab uusi v\u00f5imalusi kahtlase tegevuse j\u00e4lgimiseks (aga ka uusi haavatavusi). Nii saad aru, kes, kust ja mida t\u00e4pselt \u00fcritas kopeerida. Allpool on m\u00f5ned uue s\u00fcndmuse v\u00e4ljade kirjeldused ja paar kasutusjuhtu.
\n<\/a><\/noindex>
\nUus s\u00fcndmus sisaldab j\u00e4rgmisi v\u00e4lju:<\/p>\n

Image:<\/b> protsess, mille andmed kirjutati l\u00f5ikevahetusse.
\nSession:<\/b> seanss, milles toimus l\u00f5ikevahetusse kirjutamine. See v\u00f5ib olla system(0)
\n interaktiivses v\u00f5i kaugjuhtimisre\u017eiimis jne.
\nClientInfo:<\/b> sisaldab kasutaja nime seansis ning kaugjuhtimise korral \u2014 algse hostinime ja IP-aadressi, kui need andmed on k\u00e4ttesaadavad.
\nHashes:<\/b> m\u00e4\u00e4rab faili nime, kuhu kopeeritud tekst salvestati (sarnaselt FileDelete t\u00fc\u00fcpi s\u00fcndmustega).
\nArchived:<\/b> olek, kas teksti l\u00f5igatud l\u00f5ikefailist on salvestatud Sysmoni arhiivikausta.<\/p>\n

Viimased kaks v\u00e4ljundit p\u00f5hjustavad muret. Probleem on selles, et alates versioonist 11 v\u00f5ib Sysmon (sobivate seadistuste korral) salvestada erinevaid andmeid oma arhiivikausta. N\u00e4iteks Event ID 23 logib failide kustutamiseks kasutatavad s\u00fcndmused ning v\u00f5ib need salvestada endiselt samasse arhiivikausta. L\u00f5ikamisriistaga tehtud failide nimele lisatakse silt CLIP. Need failid sisaldavad t\u00e4pset teavet, mis kopeeriti l\u00f5ikelauale.<\/p>\n

Nii n\u00e4eb v\u00e4lja salvestatud fail<\/b>
\n \"Sysmon<\/p>\n

\nFaili salvestamine aktiveeritakse paigaldamisel. Saate seadistada protsesside valgeid nimekirju, mille puhul teksti ei salvestata.<\/p>\n

Nii n\u00e4eb v\u00e4lja Sysmoni paigaldamine koos vastava arhiivikausta seadistusega:<\/b>
\n \"Sysmon<\/p>\n

\nSiin on m\u00f5istlik meeles pidada paroolihaldureid, mis kasutavad samuti l\u00f5ikelauad. Sysmoni olemasolu s\u00fcsteemis koos paroolihalduriga v\u00f5imaldab teil (v\u00f5i r\u00fcndajal) neid paroole j\u00e4lgida. Eeldades, et teate, milline protsess kopeeritud teksti eraldab (see ei pruugi alati olla paroolihaldur, vaid v\u00f5ib olla n\u00e4iteks svchost), saab selle erandi nimekirja lisada ja mitte salvestada.<\/p>\n

V\u00f5ib-olla ei teadnud te, et l\u00f5ikelaual olev tekst v\u00f5idakse kaugarvuti serverisse edastada, kui vahetate RDP seansi ajal selle peale. Kui teil on l\u00f5ikelaual midagi ja vahetate RDP sessioonide vahel, siis see teave liigub teiega.<\/p>\n

Kokkuv\u00f5tteks Sysmoni v\u00f5imalustest l\u00f5ikelauaga t\u00f6\u00f6tamisel.<\/p>\n

Salvestatakse:<\/p>\n