વિન્ડોઝ-આધારિત વર્કસ્ટેશનના લોગમાંથી કઈ ઉપયોગી વસ્તુઓ કાઢી શકાય છે?

માહિતી સુરક્ષાના સંદર્ભમાં ઈન્ફ્રાસ્ટ્રક્ચરનું સૌથી સંવેદનશીલ બિંદુ વપરાશકર્તા વર્કસ્ટેશન છે. વપરાશકર્તાઓ તેમના કાર્ય ઇમેઇલ પર એક પત્ર પ્રાપ્ત કરી શકે છે જે સલામત સ્ત્રોતમાંથી હોવાનું જણાય છે, પરંતુ ચેપગ્રસ્ત સાઇટની લિંક સાથે. કદાચ કોઈ અજાણ્યા સ્થળેથી કામ માટે ઉપયોગી યુટિલિટી ડાઉનલોડ કરશે. હા, તમે મૉલવેર વપરાશકર્તાઓ દ્વારા આંતરિક કોર્પોરેટ સંસાધનોને કેવી રીતે ઘૂસણખોરી કરી શકે છે તેના ડઝનેક કેસ સાથે આવી શકો છો. તેથી, વર્કસ્ટેશનોને વધુ ધ્યાન આપવાની જરૂર છે, અને આ લેખમાં અમે તમને કહીશું કે હુમલાઓનું નિરીક્ષણ કરવા માટે ક્યાં અને કઈ ઇવેન્ટ્સ લેવી જોઈએ.

વહેલામાં વહેલી તકે હુમલાને શોધવા માટે, વિન્ડોઝ પાસે ત્રણ ઉપયોગી ઇવેન્ટ સ્ત્રોતો છે: સુરક્ષા ઇવેન્ટ લોગ, સિસ્ટમ મોનિટરિંગ લોગ અને પાવર શેલ લોગ.

સુરક્ષા ઇવેન્ટ લોગ

સિસ્ટમ સુરક્ષા લોગ માટે આ મુખ્ય સંગ્રહ સ્થાન છે. આમાં યુઝર લૉગિન/લૉગઆઉટ, ઑબ્જેક્ટ્સની ઍક્સેસ, પૉલિસી ફેરફારો અને અન્ય સુરક્ષા-સંબંધિત પ્રવૃત્તિઓનો સમાવેશ થાય છે. અલબત્ત, જો યોગ્ય નીતિ ગોઠવેલ હોય.

વપરાશકર્તાઓ અને જૂથોની ગણતરી (ઇવેન્ટ્સ 4798 અને 4799). હુમલાની શરૂઆતમાં, માલવેર તેના સંદિગ્ધ વ્યવહાર માટે ઓળખપત્રો શોધવા માટે વર્કસ્ટેશન પરના સ્થાનિક વપરાશકર્તા ખાતાઓ અને સ્થાનિક જૂથો દ્વારા વારંવાર શોધે છે. આ ઇવેન્ટ્સ દૂષિત કોડને આગળ વધે તે પહેલાં તેને શોધવામાં મદદ કરશે અને, એકત્રિત ડેટાનો ઉપયોગ કરીને, અન્ય સિસ્ટમમાં ફેલાય છે.

સ્થાનિક ખાતાની રચના અને સ્થાનિક જૂથોમાં ફેરફાર (ઇવેન્ટ્સ 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 અને 5377). હુમલો પણ શરૂ થઈ શકે છે, ઉદાહરણ તરીકે, સ્થાનિક સંચાલક જૂથમાં નવા વપરાશકર્તાને ઉમેરીને.

સ્થાનિક એકાઉન્ટ (ઇવેન્ટ 4624) સાથે લોગિન પ્રયાસો. આદરણીય વપરાશકર્તાઓ ડોમેન એકાઉન્ટ વડે લૉગ ઇન કરો અને સ્થાનિક એકાઉન્ટ હેઠળ લૉગિનને ઓળખવાનો અર્થ એટેકની શરૂઆત થઈ શકે છે. ઇવેન્ટ 4624 માં ડોમેન એકાઉન્ટ હેઠળ લોગિનનો પણ સમાવેશ થાય છે, તેથી ઇવેન્ટ્સની પ્રક્રિયા કરતી વખતે, તમારે ઇવેન્ટ્સને ફિલ્ટર કરવાની જરૂર છે જ્યાં ડોમેન વર્કસ્ટેશનના નામથી અલગ હોય.

ઉલ્લેખિત એકાઉન્ટ (ઇવેન્ટ 4648) સાથે લોગ ઇન કરવાનો પ્રયાસ. આ ત્યારે થાય છે જ્યારે પ્રક્રિયા "રન એઝ" મોડમાં ચાલી રહી હોય. આ સિસ્ટમના સામાન્ય સંચાલન દરમિયાન ન થવું જોઈએ, તેથી આવી ઘટનાઓને નિયંત્રિત કરવી આવશ્યક છે.

વર્કસ્ટેશનને લૉક/અનલૉક કરવું (ઇવેન્ટ્સ 4800-4803). શંકાસ્પદ ઘટનાઓની શ્રેણીમાં લૉક કરેલા વર્કસ્ટેશન પર થયેલી કોઈપણ ક્રિયાઓનો સમાવેશ થાય છે.

ફાયરવોલ રૂપરેખાંકન ફેરફારો (ઇવેન્ટ્સ 4944-4958). દેખીતી રીતે, નવા સોફ્ટવેર ઇન્સ્ટોલ કરતી વખતે, ફાયરવોલ રૂપરેખાંકન સેટિંગ્સ બદલાઈ શકે છે, જે ખોટા હકારાત્મક કારણ બનશે. મોટા ભાગના કિસ્સાઓમાં, આવા ફેરફારોને નિયંત્રિત કરવાની જરૂર નથી, પરંતુ તે ચોક્કસપણે તેમના વિશે જાણવાથી નુકસાન પહોંચાડશે નહીં.

Plug'n'play ઉપકરણોને કનેક્ટ કરી રહ્યાં છે (ઇવેન્ટ 6416 અને માત્ર Windows 10 માટે). જો વપરાશકર્તાઓ સામાન્ય રીતે વર્કસ્ટેશન સાથે નવા ઉપકરણોને કનેક્ટ કરતા નથી, પરંતુ પછી અચાનક તેઓ કરે છે તો આના પર નજર રાખવી મહત્વપૂર્ણ છે.

વિન્ડોઝમાં ફાઇન-ટ્યુનિંગ માટે 9 ઓડિટ કેટેગરીઝ અને 50 સબકેટેગરીઝનો સમાવેશ થાય છે. ઉપકેટેગરીઝનો ન્યૂનતમ સેટ કે જે સેટિંગ્સમાં સક્ષમ હોવો જોઈએ:

લોગન / લોગoffફ

• દાખલ કરો;
• લોગઓફ;
• એકાઉન્ટ લોકઆઉટ;
• અન્ય લોગોન/લોગઓફ ઇવેન્ટ્સ.

હિસાબી વય્વસ્થા

• વપરાશકર્તા એકાઉન્ટ મેનેજમેન્ટ;
• સુરક્ષા જૂથ વ્યવસ્થાપન.

નીતિ પરિવર્તન

• ઓડિટ નીતિમાં ફેરફાર;
• પ્રમાણીકરણ નીતિમાં ફેરફાર;
• અધિકૃતતા નીતિમાં ફેરફાર.

સિસ્ટમ મોનિટર (સિસ્મોન)

સિસ્મોન એ વિન્ડોઝમાં બનેલી યુટિલિટી છે જે સિસ્ટમ લોગમાં ઇવેન્ટ્સને રેકોર્ડ કરી શકે છે. સામાન્ય રીતે તમારે તેને અલગથી ઇન્સ્ટોલ કરવાની જરૂર છે.

આ સમાન ઘટનાઓ, સૈદ્ધાંતિક રીતે, સુરક્ષા લોગમાં મળી શકે છે (ઇચ્છિત ઓડિટ નીતિને સક્ષમ કરીને), પરંતુ સિસ્મોન વધુ વિગતવાર પ્રદાન કરે છે. સિસ્મોનમાંથી કઈ ઘટનાઓ લઈ શકાય?

પ્રક્રિયા બનાવટ (ઇવેન્ટ ID 1). સિસ્ટમ સિક્યોરિટી ઇવેન્ટ લોગ તમને એ પણ કહી શકે છે કે *.exe ક્યારે શરૂ થયું અને તેનું નામ અને લોંચ પાથ પણ બતાવી શકે છે. પરંતુ સિસ્મોનથી વિપરીત, તે એપ્લિકેશન હેશ બતાવવા માટે સમર્થ હશે નહીં. દૂષિત સૉફ્ટવેરને હાનિકારક notepad.exe પણ કહેવાય છે, પરંતુ તે હેશ છે જે તેને પ્રકાશમાં લાવશે.

નેટવર્ક કનેક્શન્સ (ઇવેન્ટ ID 3). દેખીતી રીતે, ત્યાં ઘણા બધા નેટવર્ક કનેક્શન્સ છે, અને તે બધાનો ટ્રૅક રાખવો અશક્ય છે. પરંતુ એ ધ્યાનમાં લેવું અગત્યનું છે કે સિસ્મોન, સિક્યોરિટી લોગથી વિપરીત, નેટવર્ક કનેક્શનને ProcessID અને ProcessGUID ક્ષેત્રો સાથે બાંધી શકે છે, અને સ્રોત અને ગંતવ્યના પોર્ટ અને IP સરનામાઓ દર્શાવે છે.

સિસ્ટમ રજિસ્ટ્રીમાં ફેરફારો (ઇવેન્ટ ID 12-14). તમારી જાતને ઑટોરનમાં ઉમેરવાનો સૌથી સહેલો રસ્તો રજિસ્ટ્રીમાં નોંધણી કરવાનો છે. સુરક્ષા લોગ આ કરી શકે છે, પરંતુ સિસ્મોન બતાવે છે કે ફેરફારો કોણે કર્યા, ક્યારે, ક્યાંથી, પ્રક્રિયા ID અને પહેલાની કી મૂલ્ય.

ફાઇલ બનાવટ (ઇવેન્ટ ID 11). સિસ્મોન, સિક્યુરિટી લોગથી વિપરીત, ફક્ત ફાઇલનું સ્થાન જ નહીં, પણ તેનું નામ પણ બતાવશે. તે સ્પષ્ટ છે કે તમે દરેક વસ્તુનો ટ્રૅક રાખી શકતા નથી, પરંતુ તમે અમુક ડિરેક્ટરીઓનું ઑડિટ કરી શકો છો.

અને હવે જે સુરક્ષા લોગ નીતિઓમાં નથી, પરંતુ સિસ્મોનમાં છે:

ફાઇલ બનાવવાના સમયનો ફેરફાર (ઇવેન્ટ ID 2). કેટલાક માલવેર તાજેતરમાં બનાવેલ ફાઇલોના અહેવાલોથી તેને છુપાવવા માટે ફાઇલની બનાવટની તારીખને સ્પુફ કરી શકે છે.

ડ્રાઇવરો અને ડાયનેમિક લાઇબ્રેરીઓ લોડ કરી રહ્યાં છે (ઇવેન્ટ ID 6-7). મેમરીમાં DLLs અને ઉપકરણ ડ્રાઇવરોના લોડિંગનું નિરીક્ષણ કરવું, ડિજિટલ હસ્તાક્ષર અને તેની માન્યતા તપાસવી.

ચાલતી પ્રક્રિયામાં થ્રેડ બનાવો (ઇવેન્ટ ID 8). એક પ્રકારનો હુમલો જેના પર પણ નજર રાખવાની જરૂર છે.

RawAccessRead ઇવેન્ટ્સ (ઇવેન્ટ ID 9). "." નો ઉપયોગ કરીને ડિસ્ક રીડ ઓપરેશન્સ. મોટા ભાગના કિસ્સાઓમાં, આવી પ્રવૃત્તિને અસામાન્ય ગણવી જોઈએ.

નામવાળી ફાઇલ સ્ટ્રીમ બનાવો (ઇવેન્ટ ID 15). જ્યારે નામવાળી ફાઇલ સ્ટ્રીમ બનાવવામાં આવે છે ત્યારે ઇવેન્ટ લોગ થાય છે જે ફાઇલના સમાવિષ્ટોના હેશ સાથે ઇવેન્ટ્સ બહાર કાઢે છે.

નામવાળી પાઇપ અને કનેક્શન બનાવવું (ઇવેન્ટ ID 17-18). ટ્રેકિંગ દૂષિત કોડ કે જે નામવાળી પાઇપ દ્વારા અન્ય ઘટકો સાથે વાતચીત કરે છે.

WMI પ્રવૃત્તિ (ઇવેન્ટ ID 19). WMI પ્રોટોકોલ દ્વારા સિસ્ટમને ઍક્સેસ કરતી વખતે જનરેટ થતી ઘટનાઓની નોંધણી.

સિસ્મોનનું રક્ષણ કરવા માટે, તમારે ID 4 (સિસ્મોન સ્ટોપિંગ અને સ્ટાર્ટિંગ) અને ID 16 (સિસ્મોન કન્ફિગરેશન ફેરફારો) સાથે ઇવેન્ટ્સનું નિરીક્ષણ કરવાની જરૂર છે.

પાવર શેલ લોગ્સ

પાવર શેલ એ વિન્ડોઝ ઈન્ફ્રાસ્ટ્રક્ચરનું સંચાલન કરવા માટેનું એક શક્તિશાળી સાધન છે, તેથી હુમલાખોર તેને પસંદ કરે તેવી શક્યતાઓ વધુ છે. પાવર શેલ ઇવેન્ટ ડેટા મેળવવા માટે તમે બે સ્ત્રોતોનો ઉપયોગ કરી શકો છો: Windows PowerShell લોગ અને Microsoft-WindowsPowerShell/Operational log.

વિન્ડોઝ પાવરશેલ લોગ

ડેટા પ્રદાતા લોડ થયેલ છે (ઇવેન્ટ ID 600). PowerShell પ્રદાતાઓ એવા પ્રોગ્રામ્સ છે જે પાવરશેલને જોવા અને મેનેજ કરવા માટે ડેટાનો સ્ત્રોત પૂરો પાડે છે. ઉદાહરણ તરીકે, બિલ્ટ-ઇન પ્રદાતાઓ Windows પર્યાવરણ ચલો અથવા સિસ્ટમ રજિસ્ટ્રી હોઈ શકે છે. સમયસર દૂષિત પ્રવૃત્તિ શોધવા માટે નવા સપ્લાયર્સનાં ઉદભવ પર દેખરેખ રાખવી આવશ્યક છે. ઉદાહરણ તરીકે, જો તમે પ્રદાતાઓ વચ્ચે WSMan દેખાય છે, તો રિમોટ પાવરશેલ સત્ર શરૂ કરવામાં આવ્યું છે.

Microsoft-WindowsPowerShell / ઓપરેશનલ લોગ (અથવા MicrosoftWindows-PowerShellCore / PowerShell 6 માં ઓપરેશનલ)

મોડ્યુલ લોગીંગ (ઇવેન્ટ ID 4103). ઇવેન્ટ્સ દરેક એક્ઝિક્યુટેડ કમાન્ડ અને પેરામીટર જેની સાથે તેને બોલાવવામાં આવી હતી તે વિશેની માહિતી સ્ટોર કરે છે.

સ્ક્રિપ્ટ બ્લોકીંગ લોગીંગ (ઇવેન્ટ ID 4104). સ્ક્રિપ્ટ બ્લોકીંગ લોગીંગ એક્ઝેક્યુટ થયેલ પાવરશેલ કોડના દરેક બ્લોકને દર્શાવે છે. જો કોઈ હુમલાખોર આદેશને છુપાવવાનો પ્રયાસ કરે તો પણ, આ ઇવેન્ટ પ્રકાર પાવરશેલ આદેશ બતાવશે જે ખરેખર ચલાવવામાં આવ્યો હતો. આ ઇવેન્ટ પ્રકાર કેટલાક નિમ્ન-સ્તરના API કૉલ્સને પણ લૉગ કરી શકે છે, આ ઇવેન્ટ્સ સામાન્ય રીતે વર્બોઝ તરીકે રેકોર્ડ કરવામાં આવે છે, પરંતુ જો કોડના બ્લોકમાં કોઈ શંકાસ્પદ આદેશ અથવા સ્ક્રિપ્ટનો ઉપયોગ કરવામાં આવે છે, તો તેને ચેતવણીની ગંભીરતા તરીકે લૉગ કરવામાં આવશે.

મહેરબાની કરીને નોંધ કરો કે એકવાર આ ઇવેન્ટ્સ એકત્રિત કરવા અને તેનું વિશ્લેષણ કરવા માટે ટૂલ ગોઠવાઈ જાય, પછી ખોટા હકારાત્મકની સંખ્યા ઘટાડવા માટે વધારાના ડિબગીંગ સમયની જરૂર પડશે.

માહિતી સુરક્ષા ઓડિટ માટે તમે કયા લોગ એકત્રિત કરો છો અને આ માટે તમે કયા સાધનોનો ઉપયોગ કરો છો તે અમને ટિપ્પણીઓમાં જણાવો. અમારા ફોકસના ક્ષેત્રોમાંનું એક છે માહિતી સુરક્ષા ઘટનાઓનું ઓડિટ કરવા માટેના ઉકેલો. લૉગ્સ એકત્રિત કરવા અને તેનું વિશ્લેષણ કરવાની સમસ્યાને ઉકેલવા માટે, અમે તેને નજીકથી જોવાનું સૂચન કરી શકીએ છીએ ક્વેસ્ટ ઇન્ટ્રસ્ટ, જે 20:1 ના ગુણોત્તર સાથે સંગ્રહિત ડેટાને સંકુચિત કરી શકે છે, અને તેનો એક ઇન્સ્ટોલ કરેલ દાખલો 60000 સ્ત્રોતોમાંથી પ્રતિ સેકન્ડ 10000 ઇવેન્ટ્સ સુધી પ્રક્રિયા કરવામાં સક્ષમ છે.

સોર્સ: www.habr.com