સિસ્મોન થ્રેટ એનાલિસિસ માર્ગદર્શિકા, ભાગ 1

આ લેખ સિસ્મોન ધમકી વિશ્લેષણ પરની શ્રેણીનો પ્રથમ ભાગ છે. શ્રેણીના અન્ય તમામ ભાગો:

ભાગ 1: સિસ્મોન લોગ એનાલિસિસનો પરિચય (અમે અહિયાં છીએ)
ભાગ 2: ધમકીઓને ઓળખવા માટે સિસ્મોન ઇવેન્ટ ડેટાનો ઉપયોગ કરવો
ભાગ 3. ગ્રાફનો ઉપયોગ કરીને સિસ્મોન ધમકીઓનું ઊંડાણપૂર્વક વિશ્લેષણ

જો તમે માહિતી સુરક્ષામાં કામ કરો છો, તો તમારે વારંવાર ચાલુ હુમલાઓને સમજવું પડશે. જો તમારી પાસે પહેલેથી જ પ્રશિક્ષિત આંખ છે, તો તમે "કાચા" અનપ્રોસેસ્ડ લૉગ્સમાં બિન-માનક પ્રવૃત્તિ શોધી શકો છો - કહો, પાવરશેલ સ્ક્રિપ્ટ ચાલી રહી છે DownloadString આદેશ સાથે અથવા વર્ડ ફાઇલ હોવાનો ઢોંગ કરતી VBS સ્ક્રિપ્ટ - વિન્ડોઝ ઇવેન્ટ લૉગમાં ફક્ત નવીનતમ પ્રવૃત્તિ દ્વારા સ્ક્રોલ કરવું. પરંતુ આ ખરેખર એક મોટો માથાનો દુખાવો છે. સદભાગ્યે, માઇક્રોસોફ્ટે સિસ્મોન બનાવ્યું, જે હુમલાના વિશ્લેષણને ખૂબ સરળ બનાવે છે.

સિસ્મોન લોગમાં પ્રદર્શિત ધમકીઓ પાછળના મૂળભૂત વિચારોને સમજવા માંગો છો? અમારી માર્ગદર્શિકા ડાઉનલોડ કરો જાસૂસીના સાધન તરીકે WMI ઇવેન્ટ્સ અને તમે સમજો છો કે કેવી રીતે અંદરના લોકો અન્ય કર્મચારીઓને ગુપ્ત રીતે અવલોકન કરી શકે છે. વિન્ડોઝ ઇવેન્ટ લોગ સાથે કામ કરવાની મુખ્ય સમસ્યા એ પેરેંટ પ્રક્રિયાઓ વિશેની માહિતીનો અભાવ છે, એટલે કે. તેમાંથી પ્રક્રિયાઓના વંશવેલાને સમજવું અશક્ય છે. બીજી તરફ, સિસ્મોન લોગ એન્ટ્રીમાં પેરેન્ટ પ્રોસેસ ID, તેનું નામ અને લોન્ચ કરવાની કમાન્ડ લાઇન હોય છે. આભાર, માઇક્રોસોફ્ટ.

અમારી શ્રેણીના પહેલા ભાગમાં, અમે જોઈશું કે તમે સિસ્મોનની મૂળભૂત માહિતી સાથે શું કરી શકો છો. ભાગ XNUMX માં, અમે ધમકી ગ્રાફ તરીકે ઓળખાતા વધુ જટિલ અનુપાલન માળખાં બનાવવા માટે પેરેન્ટ પ્રક્રિયા માહિતીનો સંપૂર્ણ લાભ લઈશું. ત્રીજા ભાગમાં, અમે એક સરળ અલ્ગોરિધમ જોઈશું જે ગ્રાફના "વજન" નું વિશ્લેષણ કરીને અસામાન્ય પ્રવૃત્તિ શોધવા માટે જોખમી ગ્રાફને સ્કેન કરે છે. અને અંતે, તમને એક સુઘડ (અને સમજી શકાય તેવી) સંભવિત ધમકી શોધવાની પદ્ધતિથી પુરસ્કૃત કરવામાં આવશે.

ભાગ 1: સિસ્મોન લોગ એનાલિસિસનો પરિચય

ઇવેન્ટ લોગની જટિલતાઓને સમજવામાં તમને શું મદદ કરી શકે છે? આખરે - SIEM. તે ઘટનાઓને સામાન્ય બનાવે છે અને તેમના અનુગામી વિશ્લેષણને સરળ બનાવે છે. પરંતુ અમારે તે દૂર જવાની જરૂર નથી, ઓછામાં ઓછું પ્રથમ તો નહીં. શરૂઆતમાં, SIEM ના સિદ્ધાંતોને સમજવા માટે, અદ્ભુત મફત સિસ્મોન ઉપયોગિતાને અજમાવવા માટે તે પૂરતું હશે. અને તેણી સાથે કામ કરવા માટે આશ્ચર્યજનક રીતે સરળ છે. તેને ચાલુ રાખો, માઈક્રોસોફ્ટ!

સિસ્મોનની કઈ વિશેષતાઓ છે?

ટૂંકમાં - પ્રક્રિયાઓ વિશે ઉપયોગી અને વાંચી શકાય તેવી માહિતી (નીચે ચિત્રો જુઓ). તમને ઉપયોગી વિગતોનો સમૂહ મળશે જે Windows ઇવેન્ટ લોગમાં નથી, પરંતુ સૌથી મહત્વપૂર્ણ નીચેના ક્ષેત્રો છે:

• પ્રક્રિયા ID (દશાંશમાં, હેક્સમાં નહીં!)
• પિતૃ પ્રક્રિયા ID
• પ્રક્રિયા આદેશ વાક્ય
• પિતૃ પ્રક્રિયાની કમાન્ડ લાઇન
• ફાઇલ ઇમેજ હેશ
• ફાઇલ છબી નામો

સિસ્મોન ઉપકરણ ડ્રાઇવર તરીકે અને સેવા તરીકે બંને સ્થાપિત થયેલ છે - વધુ વિગતો અહીં. તેનો મુખ્ય ફાયદો એમાંથી લોગનું વિશ્લેષણ કરવાની ક્ષમતા છે ઘણા સ્ત્રોતો, માહિતીનો સહસંબંધ અને પાથ સાથે સ્થિત એક ઇવેન્ટ લોગ ફોલ્ડરમાં પરિણામી મૂલ્યોનું આઉટપુટ Microsoft -> Windows -> Sysmon -> Operational. વિન્ડોઝ લૉગ્સ વિશેની મારી પોતાની તપાસમાં, મને લાગે છે કે પાવરશેલ લૉગ્સ ફોલ્ડર અને સિક્યુરિટી ફોલ્ડર વચ્ચે સતત સ્વિચ કરવું પડતું હોય છે, બંને વચ્ચેના મૂલ્યોને કોઈક રીતે સહસંબંધિત કરવાના બહાદુરી પ્રયાસમાં ઇવેન્ટ લૉગ્સમાંથી ફ્લિકિંગ કરતા હોય છે. . આ ક્યારેય સરળ કામ નથી, અને જેમ મને પાછળથી સમજાયું, એસ્પિરિનનો તરત જ સ્ટોક કરવો વધુ સારું હતું.

સિસ્મોન અંતર્ગત પ્રક્રિયાઓને સમજવામાં મદદ કરવા માટે ઉપયોગી (અથવા વિક્રેતાઓ કહેવા માંગે છે, કાર્યવાહી કરી શકાય તેવી) માહિતી આપીને ક્વોન્ટમ લીપ આગળ વધે છે. ઉદાહરણ તરીકે, મેં એક ગુપ્ત સત્ર શરૂ કર્યું wmiexec, નેટવર્કની અંદર સ્માર્ટ ઇનસાઇડરની હિલચાલનું અનુકરણ કરે છે. આ તે છે જે તમે Windows ઇવેન્ટ લોગમાં જોશો:

વિન્ડોઝ લોગ પ્રક્રિયા વિશે કેટલીક માહિતી બતાવે છે, પરંતુ તેનો બહુ ઓછો ઉપયોગ થાય છે. હેક્સાડેસિમલમાં પ્લસ પ્રોસેસ આઈડી???

હેકિંગની મૂળભૂત બાબતોની સમજ ધરાવતા પ્રોફેશનલ આઇટી પ્રોફેશનલ માટે, કમાન્ડ લાઇન શંકાસ્પદ હોવી જોઈએ. પછી અન્ય આદેશ ચલાવવા માટે cmd.exe નો ઉપયોગ કરવો અને આઉટપુટને વિચિત્ર નામવાળી ફાઇલમાં રીડાયરેક્ટ કરવું સ્પષ્ટપણે દેખરેખ અને નિયંત્રણ સોફ્ટવેરની ક્રિયાઓ જેવું જ છે. આદેશ અને નિયંત્રણ (C2): આ રીતે, WMI સેવાઓનો ઉપયોગ કરીને સ્યુડો-શેલ બનાવવામાં આવે છે.
હવે ચાલો સિસ્મોન એન્ટ્રી સમકક્ષ પર એક નજર કરીએ, તે ધ્યાનમાં લઈએ કે તે આપણને કેટલી વધારાની માહિતી આપે છે:

એક સ્ક્રીનશૉટમાં સિસ્મોન સુવિધાઓ: વાંચી શકાય તેવા સ્વરૂપમાં પ્રક્રિયા વિશે વિગતવાર માહિતી

તમે માત્ર આદેશ વાક્ય જ નહીં, પણ ફાઇલનું નામ, એક્ઝેક્યુટેબલ એપ્લિકેશનનો માર્ગ, વિન્ડોઝ તેના વિશે શું જાણે છે ("વિન્ડોઝ કમાન્ડ પ્રોસેસર"), ઓળખકર્તા પણ જોશો. પેરેંટલ પ્રક્રિયા, આદેશ વાક્ય માતાપિતા, જેણે cmd શેલ, તેમજ પિતૃ પ્રક્રિયાનું વાસ્તવિક ફાઇલ નામ લોન્ચ કર્યું. બધું એક જગ્યાએ, છેવટે!
સિસ્મોન લોગમાંથી આપણે નિષ્કર્ષ પર આવી શકીએ છીએ કે આ શંકાસ્પદ કમાન્ડ લાઇન કે જે આપણે "કાચા" લોગમાં જોઈ છે તે ઉચ્ચ સંભાવના સાથે કર્મચારીના સામાન્ય કાર્યનું પરિણામ નથી. તદ્દન વિપરિત, તે C2 જેવી પ્રક્રિયા દ્વારા જનરેટ કરવામાં આવ્યું હતું - wmiexec, જેમ કે મેં અગાઉ ઉલ્લેખ કર્યો છે - અને તે સીધા જ WMI સેવા પ્રક્રિયા (WmiPrvSe) દ્વારા પેદા કરવામાં આવી હતી. હવે અમારી પાસે એક સૂચક છે કે દૂરસ્થ હુમલાખોર અથવા આંતરિક કોર્પોરેટ ઇન્ફ્રાસ્ટ્રક્ચરનું પરીક્ષણ કરી રહ્યું છે.

Get-Sysmonlogs નો પરિચય

અલબત્ત તે સરસ છે જ્યારે સિસ્મોન લોગને એક જગ્યાએ મૂકે છે. પરંતુ તે કદાચ વધુ સારું રહેશે જો આપણે વ્યક્તિગત લોગ ફીલ્ડ્સને પ્રોગ્રામેટિકલી એક્સેસ કરી શકીએ - ઉદાહરણ તરીકે, પાવરશેલ આદેશો દ્વારા. આ કિસ્સામાં, તમે એક નાની પાવરશેલ સ્ક્રિપ્ટ લખી શકો છો જે સંભવિત જોખમોની શોધને સ્વચાલિત કરશે!
હું આવો વિચાર ધરાવનાર પ્રથમ નહોતો. અને તે સારું છે કે કેટલીક ફોરમ પોસ્ટ્સ અને GitHub માં પ્રોજેક્ટ સિસ્મોન લોગને પાર્સ કરવા માટે પાવરશેલનો ઉપયોગ કેવી રીતે કરવો તે પહેલાથી જ સમજાવવામાં આવ્યું છે. મારા કિસ્સામાં, હું દરેક સિસ્મોન ફીલ્ડ માટે પાર્સિંગ સ્ક્રિપ્ટની અલગ લીટીઓ લખવાનું ટાળવા માંગતો હતો. તેથી મેં આળસુ માણસ સિદ્ધાંતનો ઉપયોગ કર્યો અને મને લાગે છે કે પરિણામે હું કંઈક રસપ્રદ લઈને આવ્યો છું.
પ્રથમ મહત્વનો મુદ્દો ટીમની ક્ષમતા છે ગેટ-વિનવેન્ટ સિસ્મોન લોગ વાંચો, જરૂરી ઘટનાઓને ફિલ્ટર કરો અને પરિણામને PS વેરીએબલમાં આઉટપુટ કરો, જેમ કે અહીં:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

જો તમે $events એરે, $events[0].સંદેશના પ્રથમ ઘટકમાં સામગ્રી પ્રદર્શિત કરીને, આદેશને જાતે ચકાસવા માંગતા હો, તો આઉટપુટ ખૂબ જ સરળ ફોર્મેટ સાથે ટેક્સ્ટ સ્ટ્રીંગ્સની શ્રેણી હોઈ શકે છે: નામ સિસ્મોન ફીલ્ડ, કોલોન અને પછી મૂલ્ય પોતે.

હુરે! JSON-તૈયાર ફોર્મેટમાં સિસ્મોન લોગ આઉટપુટ કરી રહ્યું છે

શું તમે પણ મારા જેવું જ વિચારી રહ્યા છો? થોડા વધુ પ્રયત્નો સાથે, તમે આઉટપુટને JSON ફોર્મેટેડ સ્ટ્રિંગમાં રૂપાંતરિત કરી શકો છો અને પછી શક્તિશાળી આદેશનો ઉપયોગ કરીને તેને સીધા PS ઑબ્જેક્ટમાં લોડ કરી શકો છો. કન્વર્ટફ્રોમ-જેસન .
હું રૂપાંતર માટે પાવરશેલ કોડ બતાવીશ - તે ખૂબ જ સરળ છે - આગળના ભાગમાં. હમણાં માટે, ચાલો જોઈએ કે મારો નવો આદેશ get-sysmonlogs, જે મેં PS મોડ્યુલ તરીકે સ્થાપિત કર્યો છે, શું કરી શકે છે.
અસુવિધાજનક ઇવેન્ટ લોગ ઇન્ટરફેસ દ્વારા સિસ્મોન લોગ વિશ્લેષણમાં ઊંડાણપૂર્વક ડાઇવ કરવાને બદલે, અમે પાવરશેલ સત્રમાંથી સીધા જ વધારાની પ્રવૃત્તિ શોધી શકીએ છીએ, તેમજ PS આદેશનો ઉપયોગ કરી શકીએ છીએ. જ્યાં (ઉર્ફે - "?") શોધ પરિણામોને ટૂંકો કરવા માટે:

WMI મારફત લોન્ચ કરાયેલા cmd શેલ્સની યાદી. અમારી પોતાની ગેટ-સિસ્મોનલોગ્સ ટીમ સાથે સસ્તા પર જોખમ વિશ્લેષણ

શાનદાર! મેં સિસ્મોન લોગને મતદાન કરવા માટે એક સાધન બનાવ્યું છે જાણે કે તે ડેટાબેઝ હોય. વિશે અમારા લેખમાં EQL તે નોંધવામાં આવ્યું હતું કે આ કાર્ય તેમાં વર્ણવેલ કૂલ યુટિલિટી દ્વારા કરવામાં આવશે, જોકે ઔપચારિક રીતે હજુ પણ વાસ્તવિક SQL જેવા ઇન્ટરફેસ દ્વારા. હા, EQL ભવ્ય, પરંતુ અમે ત્રીજા ભાગમાં તેના પર સ્પર્શ કરીશું.

સિસ્મોન અને ગ્રાફ વિશ્લેષણ

ચાલો પાછળ જઈએ અને આપણે હમણાં જે બનાવ્યું છે તેના વિશે વિચારીએ. અનિવાર્યપણે, અમારી પાસે હવે પાવરશેલ દ્વારા ઍક્સેસિબલ Windows ઇવેન્ટ ડેટાબેઝ છે. જેમ મેં અગાઉ નોંધ્યું છે તેમ, રેકોર્ડ્સ વચ્ચે જોડાણો અથવા સંબંધો છે - ParentProcessId દ્વારા - તેથી પ્રક્રિયાઓનો સંપૂર્ણ વંશવેલો મેળવી શકાય છે.

જો તમે શ્રેણી વાંચી છે "ધ એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર" તમે જાણો છો કે હેકર્સ જટિલ મલ્ટી-સ્ટેજ હુમલાઓ બનાવવાનું પસંદ કરે છે, જેમાં દરેક પ્રક્રિયા તેની પોતાની નાની ભૂમિકા ભજવે છે અને આગલા પગલા માટે સ્પ્રિંગબોર્ડ તૈયાર કરે છે. આવી વસ્તુઓને ફક્ત "કાચા" લોગમાંથી પકડવી અત્યંત મુશ્કેલ છે.
પરંતુ મારા ગેટ-સિસ્મોનલોગ્સ કમાન્ડ અને વધારાના ડેટા સ્ટ્રક્ચર સાથે અમે પાછળથી ટેક્સ્ટમાં જોશું (અલબત્ત ગ્રાફ), અમારી પાસે ધમકીઓ શોધવાની એક વ્યવહારુ રીત છે - જેના માટે ફક્ત યોગ્ય શિરોબિંદુ શોધ કરવાની જરૂર છે.
અમારા DYI બ્લૉગ પ્રોજેક્ટ્સ સાથે હંમેશની જેમ, તમે નાના પાયે ધમકીઓની વિગતોનું વિશ્લેષણ કરવા પર જેટલું વધુ કામ કરશો, તેટલું વધુ તમને ખ્યાલ આવશે કે એન્ટરપ્રાઇઝ સ્તરે જોખમની શોધ કેટલી જટિલ છે. અને આ જાગૃતિ અત્યંત છે મહત્વપૂર્ણ બિંદુ.

અમે લેખના બીજા ભાગમાં પ્રથમ રસપ્રદ ગૂંચવણોનો સામનો કરીશું, જ્યાં અમે સિસ્મોન ઇવેન્ટ્સને એકબીજા સાથે વધુ જટિલ રચનાઓમાં જોડવાનું શરૂ કરીશું.

સોર્સ: www.habr.com