{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon v\u00f5ib n\u00fc\u00fcd salvestada l\u00f5ikepuhvri sisu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sysmon 12 versiooni vabastamisest teatati 17. septembril Sysinternals lehek\u00fcljel<\/a><\/noindex>. Tegelikult ilmus sel p\u00e4eval ka uus versioon Process Monitorist ja ProcDumpist. Selles artiklis r\u00e4\u00e4gin ma 12. versiooni Sysmoni olulisest ja vaieldavast uuendusest \u2014 s\u00fcndmustest koos Event ID 24, milles logitakse t\u00f6\u00f6tlus l\u00f5ikelauaga.<\/p>\n

\"Sysmon
\n
\nSelle s\u00fcndmuse teabe kaudu avanevad uued v\u00f5imalused kahtlase tegevuse j\u00e4lgimiseks (aga ka uued haavatavused). Nii saavad te saate m\u00f5ista, kes, kust ja mida t\u00e4pselt prooviti kopeerida. Allpool on kirjas uue s\u00fcndmuse m\u00f5ningate v\u00e4ljade kirjeldused ja paar kasutusjuhtu.
\n<\/a><\/noindex>
\nUus s\u00fcndmus sisaldab j\u00e4rgmisi v\u00e4lju:<\/p>\n

Image:<\/b> protsess, mille andmed kanti l\u00f5ikepuldile.
\nSession:<\/b> sessioon, kus l\u00f5ikepuldile kirjutamine toimus. See v\u00f5ib olla system(0)
\n interaktiivses v\u00f5i kaugre\u017eiimis jne.
\nClientInfo:<\/b> sisaldab sessiooni kasutajanime ning kaugseansi korral algse hosti nime ja IP-aadressi, kui need andmed on saadaval.
\nHashes:<\/b> m\u00e4\u00e4rab faili nime, kuhu kopeeritud tekst salvestati (sarnaneb s\u00fcndmustega, mis on seotud FileDelete-iga).
\nArchived:<\/b> staatus, kas l\u00f5ikepuldilt kopeeritud tekst on salvestatud Sysmoni arhiivikausta.<\/p>\n

Viimased paar v\u00e4ljakutsuvad muret. Asi on selles, et alates 11. versioonist v\u00f5ib Sysmon (\u00f5igete seadistuste korral) salvestada erinevaid andmeid oma arhiivikausta. N\u00e4iteks Event ID 23 logib endasse failide kustutamise s\u00fcndmusi ja v\u00f5ib neid salvestada sama arhiivikausta. L\u00f5ikepuldiga seotud failide nimedele lisatakse m\u00e4rge CLIP. Need failid sisaldavad t\u00e4pseid andmeid, mis kopeeriti l\u00f5ikepuldile.<\/p>\n

Nii n\u00e4eb v\u00e4lja salvestatud fail<\/b>
\n \"Sysmon<\/p>\n

\nFaili salvestamine aktiveeritakse installimisel. V\u00f5ib luua protsesside valgeid nimekirju, mille puhul tekst ei salvestata.<\/p>\n

Nii n\u00e4eb v\u00e4lja Sysmoni installimine koos vastava arhiivikausta seadistusega:<\/b>
\n \"Sysmon<\/p>\n

\nSiin tasub meenutada paroolihaldureid, mis samuti kasutavad l\u00f5ikepulti. Sysmoni olemasolu paroolihalduriga s\u00fcsteemis v\u00f5imaldab teil (v\u00f5i kurjategijal) neid paroole kinni p\u00fc\u00fcda. Kui eeldada, et teate, milline protsess eraldab kopeeritud teksti (ja see ei pruugi olla alati paroolihalduri protsess, vaid v\u00f5ib olla n\u00e4iteks m\u00f5ni svchost), saab seda erandit lisada valgesse nimekirja, et mitte salvestada.<\/p>\n

V\u00f5ib-olla ei teadnud te, et l\u00f5ikepildi sisu salvestatakse kaugserverisse, kui te RDP sessioonide vahel l\u00fclitute. Kui teil on midagi l\u00f5ikepildil ja te vahetate RDP sessioonide vahel, liigub see teave teiega.<\/p>\n

Kokkuv\u00f5tteks Sysmoni v\u00f5imalustest l\u00f5ikepildiga t\u00f6\u00f6tamisel.<\/p>\n

Salvestatakse:<\/p>\n