અમે Windows માં શંકાસ્પદ પ્રક્રિયાઓ શરૂ કરવા વિશેની ઘટનાઓના સંગ્રહને સક્ષમ કરીએ છીએ અને Quest InTrust નો ઉપયોગ કરીને જોખમોને ઓળખીએ છીએ.

હુમલાના સૌથી સામાન્ય પ્રકારો પૈકી એક સંપૂર્ણપણે આદરણીય પ્રક્રિયાઓ હેઠળ ઝાડમાં દૂષિત પ્રક્રિયાનો જન્મ છે. એક્ઝિક્યુટેબલ ફાઇલનો માર્ગ શંકાસ્પદ હોઈ શકે છે: માલવેર ઘણીવાર AppData અથવા Temp ફોલ્ડર્સનો ઉપયોગ કરે છે, અને આ કાયદેસર પ્રોગ્રામ્સ માટે લાક્ષણિક નથી. વાજબી બનવા માટે, તે કહેવું યોગ્ય છે કે કેટલીક સ્વચાલિત અપડેટ ઉપયોગિતાઓ AppData માં ચલાવવામાં આવે છે, તેથી પ્રોગ્રામ દૂષિત છે તેની પુષ્ટિ કરવા માટે ફક્ત લોન્ચ સ્થાનને તપાસવું પૂરતું નથી.

કાયદેસરતાનું વધારાનું પરિબળ એ ક્રિપ્ટોગ્રાફિક હસ્તાક્ષર છે: ઘણા મૂળ કાર્યક્રમો વિક્રેતા દ્વારા સહી કરવામાં આવે છે. તમે એ હકીકતનો ઉપયોગ કરી શકો છો કે શંકાસ્પદ સ્ટાર્ટઅપ વસ્તુઓને ઓળખવા માટેની પદ્ધતિ તરીકે કોઈ સહી નથી. પરંતુ તે પછી ફરીથી માલવેર છે જે ચોરી કરેલા પ્રમાણપત્રનો ઉપયોગ પોતાની હસ્તાક્ષર કરવા માટે કરે છે.

તમે MD5 અથવા SHA256 ક્રિપ્ટોગ્રાફિક હેશનું મૂલ્ય પણ ચકાસી શકો છો, જે અગાઉ શોધાયેલ કેટલાક માલવેરને અનુરૂપ હોઈ શકે છે. તમે પ્રોગ્રામમાં હસ્તાક્ષરો જોઈને સ્થિર વિશ્લેષણ કરી શકો છો (યારા નિયમો અથવા એન્ટિવાયરસ ઉત્પાદનોનો ઉપયોગ કરીને). ગતિશીલ વિશ્લેષણ (કેટલાક સલામત વાતાવરણમાં પ્રોગ્રામ ચલાવવું અને તેની ક્રિયાઓનું નિરીક્ષણ કરવું) અને રિવર્સ એન્જિનિયરિંગ પણ છે.

દૂષિત પ્રક્રિયાના ઘણા ચિહ્નો હોઈ શકે છે. આ લેખમાં અમે તમને જણાવીશું કે વિન્ડોઝમાં સંબંધિત ઇવેન્ટ્સનું ઑડિટિંગ કેવી રીતે સક્ષમ કરવું, અમે બિલ્ટ-ઇન નિયમ જેના પર આધાર રાખે છે તેના ચિહ્નોનું વિશ્લેષણ કરીશું. ઇન્ટ્રસ્ટ શંકાસ્પદ પ્રક્રિયાને ઓળખવા માટે. InTrust છે CLM પ્લેટફોર્મ અસંગઠિત ડેટા એકત્ર કરવા, પૃથ્થકરણ કરવા અને સંગ્રહ કરવા માટે, જેમાં વિવિધ પ્રકારના હુમલાઓ માટે પહેલાથી જ સેંકડો પૂર્વવ્યાખ્યાયિત પ્રતિક્રિયાઓ છે.

જ્યારે પ્રોગ્રામ લોન્ચ થાય છે, ત્યારે તે કમ્પ્યુટરની મેમરીમાં લોડ થાય છે. એક્ઝિક્યુટેબલ ફાઇલમાં કમ્પ્યુટર સૂચનાઓ અને સહાયક લાઇબ્રેરીઓ (ઉદાહરણ તરીકે, *.dll) શામેલ છે. જ્યારે પ્રક્રિયા પહેલેથી જ ચાલી રહી હોય, ત્યારે તે વધારાના થ્રેડો બનાવી શકે છે. થ્રેડો એક પ્રક્રિયાને એકસાથે સૂચનાઓના વિવિધ સેટને ચલાવવાની મંજૂરી આપે છે. દૂષિત કોડ માટે મેમરીમાં પ્રવેશ કરવા અને ચલાવવાની ઘણી રીતો છે, ચાલો તેમાંથી કેટલાકને જોઈએ.

દૂષિત પ્રક્રિયા શરૂ કરવાનો સૌથી સહેલો રસ્તો એ છે કે વપરાશકર્તાને તેને સીધા જ લોંચ કરવા દબાણ કરવું (ઉદાહરણ તરીકે, ઇમેઇલ જોડાણમાંથી), પછી જ્યારે પણ કમ્પ્યુટર ચાલુ હોય ત્યારે તેને લોન્ચ કરવા માટે RunOnce કીનો ઉપયોગ કરો. આમાં "ફાઇલલેસ" મૉલવેરનો પણ સમાવેશ થાય છે જે પાવરશેલ સ્ક્રિપ્ટ્સને રજિસ્ટ્રી કીમાં સંગ્રહિત કરે છે જે ટ્રિગરના આધારે ચલાવવામાં આવે છે. આ કિસ્સામાં, પાવરશેલ સ્ક્રિપ્ટ દૂષિત કોડ છે.

સ્પષ્ટ રીતે ચાલતા માલવેરની સમસ્યા એ છે કે તે જાણીતો અભિગમ છે જે સરળતાથી શોધી શકાય છે. કેટલાક માલવેર વધુ હોંશિયાર વસ્તુઓ કરે છે, જેમ કે મેમરીમાં એક્ઝિક્યુટ કરવાનું શરૂ કરવા માટે બીજી પ્રક્રિયાનો ઉપયોગ કરવો. તેથી, પ્રક્રિયા ચોક્કસ કમ્પ્યુટર સૂચના ચલાવીને અને ચલાવવા માટે એક્ઝિક્યુટેબલ ફાઇલ (.exe) નો ઉલ્લેખ કરીને બીજી પ્રક્રિયા બનાવી શકે છે.

ફાઇલને સંપૂર્ણ પાથ (ઉદાહરણ તરીકે, C:Windowssystem32cmd.exe) અથવા આંશિક પાથ (ઉદાહરણ તરીકે, cmd.exe) નો ઉપયોગ કરીને સ્પષ્ટ કરી શકાય છે. જો મૂળ પ્રક્રિયા અસુરક્ષિત છે, તો તે ગેરકાયદેસર કાર્યક્રમોને ચલાવવાની મંજૂરી આપશે. હુમલો આના જેવો દેખાઈ શકે છે: પ્રક્રિયા સંપૂર્ણ પાથનો ઉલ્લેખ કર્યા વિના cmd.exe લોન્ચ કરે છે, હુમલાખોર તેના cmd.exeને એવી જગ્યાએ મૂકે છે જેથી પ્રક્રિયા તેને કાયદેસરની પહેલાં લોન્ચ કરે. એકવાર માલવેર ચાલે છે, તે બદલામાં એક કાયદેસર પ્રોગ્રામ (જેમ કે C:Windowssystem32cmd.exe) શરૂ કરી શકે છે જેથી મૂળ પ્રોગ્રામ યોગ્ય રીતે કામ કરવાનું ચાલુ રાખે.

અગાઉના હુમલાની વિવિધતા એ કાયદેસર પ્રક્રિયામાં ડીએલએલ ઇન્જેક્શન છે. જ્યારે પ્રક્રિયા શરૂ થાય છે, ત્યારે તે લાઇબ્રેરીઓ શોધે છે અને લોડ કરે છે જે તેની કાર્યક્ષમતાને વિસ્તૃત કરે છે. DLL ઇન્જેક્શનનો ઉપયોગ કરીને, હુમલાખોર કાયદેસર તરીકે સમાન નામ અને API સાથે દૂષિત લાઇબ્રેરી બનાવે છે. પ્રોગ્રામ દૂષિત લાઇબ્રેરીને લોડ કરે છે, અને તે બદલામાં, કાયદેસરને લોડ કરે છે, અને, જરૂરી હોય તો, તેને ઑપરેશન કરવા માટે કૉલ કરે છે. દૂષિત લાઇબ્રેરી સારી લાઇબ્રેરી માટે પ્રોક્સી તરીકે કામ કરવાનું શરૂ કરે છે.

દૂષિત કોડને મેમરીમાં મૂકવાની બીજી રીત એ છે કે તેને અસુરક્ષિત પ્રક્રિયામાં દાખલ કરવી જે પહેલાથી ચાલી રહી છે. પ્રક્રિયાઓ વિવિધ સ્રોતોમાંથી ઇનપુટ મેળવે છે - નેટવર્ક અથવા ફાઇલોમાંથી વાંચન. ઇનપુટ કાયદેસર છે તેની ખાતરી કરવા માટે તેઓ સામાન્ય રીતે તપાસ કરે છે. પરંતુ સૂચનાઓનું અમલીકરણ કરતી વખતે કેટલીક પ્રક્રિયાઓને યોગ્ય સુરક્ષા હોતી નથી. આ હુમલામાં, દૂષિત કોડ ધરાવતી ડિસ્ક અથવા એક્ઝિક્યુટેબલ ફાઇલ પર કોઈ લાઇબ્રેરી નથી. શોષણની પ્રક્રિયા સાથે બધું મેમરીમાં સંગ્રહિત થાય છે.

હવે ચાલો વિન્ડોઝમાં આવી ઘટનાઓના સંગ્રહને સક્ષમ કરવા માટેની પદ્ધતિ અને InTrust માં નિયમ જોઈએ જે આવા જોખમો સામે રક્ષણ લાગુ કરે છે. પ્રથમ, ચાલો તેને InTrust મેનેજમેન્ટ કન્સોલ દ્વારા સક્રિય કરીએ.

નિયમ વિન્ડોઝ ઓએસની પ્રોસેસ ટ્રેકિંગ ક્ષમતાઓનો ઉપયોગ કરે છે. કમનસીબે, આવી ઘટનાઓના સંગ્રહને સક્ષમ કરવું એ સ્પષ્ટ નથી. ત્યાં 3 અલગ અલગ જૂથ નીતિ સેટિંગ્સ છે જે તમારે બદલવાની જરૂર છે:

કમ્પ્યુટર રૂપરેખાંકન > નીતિઓ > Windows સેટિંગ્સ > સુરક્ષા સેટિંગ્સ > સ્થાનિક નીતિઓ > ઓડિટ નીતિ > ઓડિટ પ્રક્રિયા ટ્રેકિંગ

કમ્પ્યુટર રૂપરેખાંકન > નીતિઓ > વિન્ડોઝ સેટિંગ્સ > સુરક્ષા સેટિંગ્સ > અદ્યતન ઓડિટ નીતિ ગોઠવણી > ઓડિટ નીતિઓ > વિગતવાર ટ્રેકિંગ > ઓડિટ પ્રક્રિયા બનાવટ

કમ્પ્યુટર રૂપરેખાંકન > નીતિઓ > વહીવટી નમૂનાઓ > સિસ્ટમ > ઑડિટ પ્રક્રિયા બનાવટ > પ્રક્રિયા બનાવટ ઇવેન્ટ્સમાં આદેશ વાક્ય શામેલ કરો

એકવાર સક્ષમ થઈ ગયા પછી, InTrust નિયમો તમને શંકાસ્પદ વર્તણૂક પ્રદર્શિત કરતી અગાઉની અજાણી ધમકીઓને શોધવાની મંજૂરી આપે છે. ઉદાહરણ તરીકે, તમે ઓળખી શકો છો અહીં વર્ણવેલ Dridex મૉલવેર. HP Bromium પ્રોજેક્ટ માટે આભાર, અમે જાણીએ છીએ કે આ ધમકી કેવી રીતે કામ કરે છે.

તેની ક્રિયાઓની સાંકળમાં, Dridex શેડ્યૂલ કરેલ કાર્ય બનાવવા માટે schtasks.exe નો ઉપયોગ કરે છે. આદેશ વાક્યમાંથી આ વિશિષ્ટ ઉપયોગિતાનો ઉપયોગ કરવો એ ખૂબ જ શંકાસ્પદ વર્તન માનવામાં આવે છે; svchost.exe ને પેરામીટર્સ સાથે લોંચ કરવું જે વપરાશકર્તા ફોલ્ડર્સ તરફ નિર્દેશ કરે છે અથવા "નેટ વ્યુ" અથવા "whoami" આદેશો જેવા પરિમાણો સાથે સમાન દેખાય છે. અહીં અનુરૂપ એક ટુકડો છે સિગ્મા નિયમો:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust માં, તમામ શંકાસ્પદ વર્તણૂકને એક નિયમમાં સમાવવામાં આવેલ છે, કારણ કે આમાંની મોટાભાગની ક્રિયાઓ કોઈ ચોક્કસ ખતરા માટે વિશિષ્ટ નથી, પરંતુ સંકુલમાં શંકાસ્પદ હોય છે અને 99% કેસોમાં સંપૂર્ણપણે ઉમદા હેતુઓ માટે ઉપયોગમાં લેવાય છે. ક્રિયાઓની આ સૂચિમાં શામેલ છે, પરંતુ તે આના સુધી મર્યાદિત નથી:

• અસામાન્ય સ્થાનોથી ચાલતી પ્રક્રિયાઓ, જેમ કે વપરાશકર્તા અસ્થાયી ફોલ્ડર્સ.
• શંકાસ્પદ વારસા સાથે જાણીતી સિસ્ટમ પ્રક્રિયા - કેટલીક ધમકીઓ શોધી ન શકાય તે માટે સિસ્ટમ પ્રક્રિયાઓના નામનો ઉપયોગ કરવાનો પ્રયાસ કરી શકે છે.
• cmd અથવા PsExec જેવા વહીવટી સાધનોના શંકાસ્પદ અમલ જ્યારે તેઓ સ્થાનિક સિસ્ટમ ઓળખપત્ર અથવા શંકાસ્પદ વારસાનો ઉપયોગ કરે છે.
• શંકાસ્પદ શેડો કોપી ઓપરેશન્સ એ સિસ્ટમને એન્ક્રિપ્ટ કરતા પહેલા રેન્સમવેર વાયરસનું સામાન્ય વર્તન છે; તેઓ બેકઅપને મારી નાખે છે:

  - vssadmin.exe દ્વારા;
  - WMI દ્વારા.

• સમગ્ર રજિસ્ટ્રી શિળસના ડમ્પ રજીસ્ટર કરો.
• દૂષિત કોડની આડી હિલચાલ જ્યારે at.exe જેવા આદેશોનો ઉપયોગ કરીને રિમોટલી પ્રક્રિયા શરૂ કરવામાં આવે છે.
• net.exe નો ઉપયોગ કરીને શંકાસ્પદ સ્થાનિક જૂથ કામગીરી અને ડોમેન કામગીરી.
• netsh.exe નો ઉપયોગ કરીને શંકાસ્પદ ફાયરવોલ પ્રવૃત્તિ.
• ACL ની શંકાસ્પદ હેરફેર.
• ડેટા એક્સફિલ્ટરેશન માટે BITS નો ઉપયોગ કરવો.
• WMI સાથે શંકાસ્પદ મેનિપ્યુલેશન્સ.
• શંકાસ્પદ સ્ક્રિપ્ટ આદેશો.
• સુરક્ષિત સિસ્ટમ ફાઇલો ડમ્પ કરવાનો પ્રયાસ.

સંયુક્ત નિયમ RUYK, LockerGoga અને અન્ય રેન્સમવેર, માલવેર અને સાયબર ક્રાઈમ ટૂલકીટ જેવા જોખમોને શોધવા માટે ખૂબ જ સારી રીતે કામ કરે છે. વિક્રેતા દ્વારા ઉત્પાદન વાતાવરણમાં ખોટા હકારાત્મકને ઘટાડવા માટે નિયમનું પરીક્ષણ કરવામાં આવ્યું છે. અને સિગ્મા પ્રોજેક્ટ માટે આભાર, આમાંના મોટાભાગના સૂચકો ન્યૂનતમ સંખ્યામાં અવાજની ઘટનાઓ ઉત્પન્ન કરે છે.

કારણ કે InTrust માં આ એક મોનિટરિંગ નિયમ છે, તમે ધમકીની પ્રતિક્રિયા તરીકે પ્રતિભાવ સ્ક્રિપ્ટ ચલાવી શકો છો. તમે બિલ્ટ-ઇન સ્ક્રિપ્ટ્સમાંથી એકનો ઉપયોગ કરી શકો છો અથવા તમારી પોતાની બનાવી શકો છો અને InTrust તેને આપમેળે વિતરિત કરશે.

વધુમાં, તમે તમામ ઇવેન્ટ-સંબંધિત ટેલિમેટ્રીનું નિરીક્ષણ કરી શકો છો: પાવરશેલ સ્ક્રિપ્ટ્સ, પ્રક્રિયા અમલીકરણ, સુનિશ્ચિત કાર્ય મેનીપ્યુલેશન્સ, WMI વહીવટી પ્રવૃત્તિ, અને સુરક્ષા ઘટનાઓ દરમિયાન પોસ્ટમોર્ટમ માટે તેનો ઉપયોગ કરો.

InTrust ના બીજા સેંકડો નિયમો છે, તેમાંના કેટલાક:

• PowerShell ડાઉનગ્રેડ હુમલાને શોધી કાઢવું ​​એ છે જ્યારે કોઈ વ્યક્તિ જાણીજોઈને PowerShell ના જૂના સંસ્કરણનો ઉપયોગ કરે છે કારણ કે... જૂના સંસ્કરણમાં શું થઈ રહ્યું હતું તેનું ઑડિટ કરવાનો કોઈ રસ્તો નહોતો.
• ઉચ્ચ વિશેષાધિકાર લોગોન શોધ એ છે જ્યારે એકાઉન્ટ્સ કે જે ચોક્કસ વિશેષાધિકૃત જૂથના સભ્યો છે (જેમ કે ડોમેન એડમિનિસ્ટ્રેટર્સ) અકસ્માત દ્વારા અથવા સુરક્ષા ઘટનાઓને કારણે વર્કસ્ટેશન પર લૉગ ઇન થાય છે.

InTrust તમને પૂર્વવ્યાખ્યાયિત શોધ અને પ્રતિક્રિયા નિયમોના સ્વરૂપમાં શ્રેષ્ઠ સુરક્ષા પદ્ધતિઓનો ઉપયોગ કરવાની મંજૂરી આપે છે. અને જો તમને લાગે કે કંઈક અલગ રીતે કામ કરવું જોઈએ, તો તમે નિયમની તમારી પોતાની નકલ બનાવી શકો છો અને તેને જરૂરિયાત મુજબ ગોઠવી શકો છો. તમે પાયલોટ કરવા અથવા અસ્થાયી લાઇસન્સ સાથે વિતરણ કીટ મેળવવા માટે અરજી સબમિટ કરી શકો છો પ્રતિસાદ ફોર્મ અમારી વેબસાઇટ પર.

અમારા પર સબ્સ્ક્રાઇબ કરો ફેસબુક પેજ, અમે ત્યાં ટૂંકી નોંધો અને રસપ્રદ લિંક્સ પ્રકાશિત કરીએ છીએ.

માહિતી સુરક્ષા પર અમારા અન્ય લેખો વાંચો:

કેવી રીતે InTrust RDP દ્વારા નિષ્ફળ અધિકૃતતા પ્રયાસોના દરને ઘટાડવામાં મદદ કરી શકે છે

અમે રેન્સમવેર એટેક શોધીએ છીએ, ડોમેન કંટ્રોલરની ઍક્સેસ મેળવીએ છીએ અને આ હુમલાઓનો પ્રતિકાર કરવાનો પ્રયાસ કરીએ છીએ

વિન્ડોઝ-આધારિત વર્કસ્ટેશનના લોગમાંથી કઈ ઉપયોગી વસ્તુઓ કાઢી શકાય છે? (લોકપ્રિય લેખ)

પેઇર અથવા ડક્ટ ટેપ વિના વપરાશકર્તાઓના જીવનચક્રને ટ્રૅક કરવું

આ કોણે કર્યું? અમે માહિતી સુરક્ષા ઓડિટને સ્વચાલિત કરીએ છીએ

SIEM સિસ્ટમની માલિકીનો ખર્ચ કેવી રીતે ઘટાડવો અને તમારે સેન્ટ્રલ લોગ મેનેજમેન્ટ (CLM)ની કેમ જરૂર છે

સોર્સ: www.habr.com