विंडोज़-आधारित वर्कस्टेशन के लॉग से कौन सी उपयोगी चीज़ें निकाली जा सकती हैं?

सूचना सुरक्षा की दृष्टि से उपयोगकर्ता कार्य केंद्र बुनियादी ढांचे का सबसे कमजोर बिंदु है। उपयोगकर्ताओं को उनके कार्य ईमेल पर एक पत्र प्राप्त हो सकता है जो किसी सुरक्षित स्रोत से आया प्रतीत होता है, लेकिन किसी संक्रमित साइट के लिंक के साथ। शायद कोई अज्ञात स्थान से काम के लिए उपयोगी उपयोगिता डाउनलोड करेगा। हाँ, आप ऐसे दर्जनों मामले सामने ला सकते हैं कि कैसे मैलवेयर उपयोगकर्ताओं के माध्यम से आंतरिक कॉर्पोरेट संसाधनों में घुसपैठ कर सकता है। इसलिए, वर्कस्टेशन पर अधिक ध्यान देने की आवश्यकता है, और इस लेख में हम आपको बताएंगे कि हमलों की निगरानी के लिए कहां और कौन से उपाय करने चाहिए।

किसी हमले का जल्द से जल्द पता लगाने के लिए, विन्डोज़ के पास तीन उपयोगी इवेंट स्रोत हैं: सुरक्षा इवेंट लॉग, सिस्टम मॉनिटरिंग लॉग और पावर शेल लॉग।

सुरक्षा इवेंट लॉग

यह सिस्टम सुरक्षा लॉग के लिए मुख्य भंडारण स्थान है। इसमें उपयोगकर्ता लॉगिन/लॉगआउट, वस्तुओं तक पहुंच, नीति परिवर्तन और अन्य सुरक्षा-संबंधित गतिविधियां शामिल हैं। बेशक, यदि उपयुक्त नीति कॉन्फ़िगर की गई है।

उपयोगकर्ताओं और समूहों की गणना (घटनाएँ 4798 और 4799)। किसी हमले की शुरुआत में, मैलवेयर अक्सर अपने संदिग्ध व्यवहार के लिए प्रमाण-पत्र खोजने के लिए वर्कस्टेशन पर स्थानीय उपयोगकर्ता खातों और स्थानीय समूहों की खोज करता है। ये इवेंट दुर्भावनापूर्ण कोड के आगे बढ़ने और एकत्रित डेटा का उपयोग करके अन्य प्रणालियों में फैलने से पहले उसका पता लगाने में मदद करेंगे।

एक स्थानीय खाते का निर्माण और स्थानीय समूहों में परिवर्तन (घटनाएँ 4720, 4722-4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 और 5377)। उदाहरण के लिए, हमला स्थानीय प्रशासक समूह में एक नया उपयोगकर्ता जोड़कर भी शुरू हो सकता है।

स्थानीय खाते से लॉगिन प्रयास (इवेंट 4624)। सम्मानित उपयोगकर्ता एक डोमेन खाते से लॉग इन करते हैं, और एक स्थानीय खाते के तहत लॉगिन की पहचान करने का मतलब हमले की शुरुआत हो सकता है। ईवेंट 4624 में एक डोमेन खाते के अंतर्गत लॉगिन भी शामिल है, इसलिए ईवेंट को संसाधित करते समय, आपको उन ईवेंट को फ़िल्टर करने की आवश्यकता होती है जहां डोमेन वर्कस्टेशन नाम से भिन्न होता है।

निर्दिष्ट खाते से लॉग इन करने का प्रयास (इवेंट 4648)। ऐसा तब होता है जब प्रक्रिया "इस रूप में चलाएँ" मोड में चल रही होती है। सिस्टम के सामान्य संचालन के दौरान ऐसा नहीं होना चाहिए, इसलिए ऐसी घटनाओं को नियंत्रित किया जाना चाहिए।

वर्कस्टेशन को लॉक/अनलॉक करना (इवेंट 4800-4803)। संदिग्ध घटनाओं की श्रेणी में लॉक किए गए वर्कस्टेशन पर होने वाली कोई भी कार्रवाई शामिल है।

फ़ायरवॉल कॉन्फ़िगरेशन परिवर्तन (इवेंट 4944-4958)। जाहिर है, नया सॉफ़्टवेयर स्थापित करते समय, फ़ायरवॉल कॉन्फ़िगरेशन सेटिंग्स बदल सकती हैं, जो गलत सकारात्मकता का कारण बनेगी। ज्यादातर मामलों में, ऐसे परिवर्तनों को नियंत्रित करने की कोई आवश्यकता नहीं है, लेकिन उनके बारे में जानने से निश्चित रूप से कोई नुकसान नहीं होगा।

प्लग'एन'प्ले डिवाइस कनेक्ट करना (इवेंट 6416 और केवल विंडोज 10 के लिए)। इस पर नज़र रखना महत्वपूर्ण है यदि उपयोगकर्ता आमतौर पर नए उपकरणों को वर्कस्टेशन से कनेक्ट नहीं करते हैं, लेकिन फिर अचानक ऐसा करते हैं।

विंडोज़ में फाइन-ट्यूनिंग के लिए 9 ऑडिट श्रेणियां और 50 उपश्रेणियाँ शामिल हैं। उपश्रेणियों का न्यूनतम सेट जिसे सेटिंग्स में सक्षम किया जाना चाहिए:

लॉगऑन/लॉगऑफ

• पर लॉग ऑन करें;
• लॉग ऑफ़;
• खाता लॉकआउट;
• अन्य लॉगऑन/लॉगऑफ़ इवेंट।

खाता प्रबंधन

• उपयोगकर्ता खाता प्रबंधन;
• सुरक्षा समूह प्रबंधन.

नीति में बदलाव

• लेखापरीक्षा नीति परिवर्तन;
• प्रमाणीकरण नीति परिवर्तन;
• प्राधिकरण नीति परिवर्तन.

सिस्टम मॉनिटर (सिसमन)

Sysmon विंडोज़ में निर्मित एक उपयोगिता है जो सिस्टम लॉग में घटनाओं को रिकॉर्ड कर सकती है। आमतौर पर आपको इसे अलग से स्थापित करने की आवश्यकता होती है।

ये समान घटनाएँ, सिद्धांत रूप में, सुरक्षा लॉग में पाई जा सकती हैं (वांछित ऑडिट नीति को सक्षम करके), लेकिन सिस्मोन अधिक विवरण प्रदान करता है। सिस्मोन से कौन सी घटनाएँ ली जा सकती हैं?

प्रक्रिया निर्माण (इवेंट आईडी 1)। सिस्टम सुरक्षा इवेंट लॉग आपको यह भी बता सकता है कि *.exe कब शुरू हुआ और यहां तक ​​कि उसका नाम और लॉन्च पथ भी दिखा सकता है। लेकिन सिस्मोन के विपरीत, यह एप्लिकेशन हैश नहीं दिखा पाएगा। दुर्भावनापूर्ण सॉफ़्टवेयर को हानिरहित Notepad.exe भी कहा जा सकता है, लेकिन यह हैश ही है जो इसे प्रकाश में लाएगा।

नेटवर्क कनेक्शन (इवेंट आईडी 3)। जाहिर है, बहुत सारे नेटवर्क कनेक्शन हैं, और उन सभी पर नज़र रखना असंभव है। लेकिन यह विचार करना महत्वपूर्ण है कि सिस्मोन, सिक्योरिटी लॉग के विपरीत, नेटवर्क कनेक्शन को प्रोसेसआईडी और प्रोसेसगाइड फ़ील्ड से जोड़ सकता है, और स्रोत और गंतव्य के पोर्ट और आईपी पते दिखाता है।

सिस्टम रजिस्ट्री में परिवर्तन (इवेंट आईडी 12-14)। स्वयं को ऑटोरन में जोड़ने का सबसे आसान तरीका रजिस्ट्री में पंजीकरण करना है। सुरक्षा लॉग ऐसा कर सकता है, लेकिन सिस्मोन दिखाता है कि परिवर्तन किसने, कब, कहाँ से, प्रक्रिया आईडी और पिछले कुंजी मान में किए हैं।

फ़ाइल निर्माण (इवेंट आईडी 11)। सिक्योरिटी लॉग के विपरीत, सिस्मोन न केवल फ़ाइल का स्थान दिखाएगा, बल्कि उसका नाम भी दिखाएगा। यह स्पष्ट है कि आप हर चीज़ पर नज़र नहीं रख सकते, लेकिन आप कुछ निर्देशिकाओं का ऑडिट कर सकते हैं।

और अब जो सुरक्षा लॉग नीतियों में नहीं है, लेकिन सिस्मोन में है:

फ़ाइल निर्माण समय में परिवर्तन (इवेंट आईडी 2)। कुछ मैलवेयर किसी फ़ाइल को हाल ही में बनाई गई फ़ाइलों की रिपोर्ट से छिपाने के लिए उसकी निर्माण तिथि को खराब कर सकते हैं।

ड्राइवर और डायनेमिक लाइब्रेरीज़ लोड हो रही हैं (इवेंट आईडी 6-7)। मेमोरी में डीएलएल और डिवाइस ड्राइवरों की लोडिंग की निगरानी करना, डिजिटल हस्ताक्षर और उसकी वैधता की जांच करना।

चल रही प्रक्रिया में एक थ्रेड बनाएं (इवेंट आईडी 8)। एक प्रकार का हमला जिस पर निगरानी रखने की भी जरूरत है.

रॉएक्सेसरीड इवेंट्स (इवेंट आईडी 9)। "।" का उपयोग करके डिस्क रीड ऑपरेशन। अधिकांश मामलों में, ऐसी गतिविधि को असामान्य माना जाना चाहिए।

एक नामित फ़ाइल स्ट्रीम बनाएं (इवेंट आईडी 15)। एक ईवेंट लॉग किया जाता है जब एक नामित फ़ाइल स्ट्रीम बनाई जाती है जो फ़ाइल की सामग्री के हैश के साथ ईवेंट उत्सर्जित करती है।

एक नामित पाइप और कनेक्शन बनाना (इवेंट आईडी 17-18)। दुर्भावनापूर्ण कोड को ट्रैक करना जो नामित पाइप के माध्यम से अन्य घटकों के साथ संचार करता है।

डब्लूएमआई गतिविधि (इवेंट आईडी 19)। WMI प्रोटोकॉल के माध्यम से सिस्टम तक पहुँचने पर उत्पन्न होने वाली घटनाओं का पंजीकरण।

स्वयं Sysmon की सुरक्षा के लिए, आपको ID 4 (Sysmon को रोकना और प्रारंभ करना) और ID 16 (Sysmon कॉन्फ़िगरेशन परिवर्तन) के साथ घटनाओं की निगरानी करने की आवश्यकता है।

पावर शैल लॉग्स

पावर शेल विंडोज़ बुनियादी ढांचे के प्रबंधन के लिए एक शक्तिशाली उपकरण है, इसलिए संभावना अधिक है कि कोई हमलावर इसे चुनेगा। पावर शेल इवेंट डेटा प्राप्त करने के लिए आप दो स्रोतों का उपयोग कर सकते हैं: विंडोज पावरशेल लॉग और माइक्रोसॉफ्ट-विंडोजपॉवरशेल/ऑपरेशनल लॉग।

विंडोज़ पावरशेल लॉग

डेटा प्रदाता लोड किया गया (इवेंट आईडी 600)। PowerShell प्रदाता ऐसे प्रोग्राम हैं जो PowerShell को देखने और प्रबंधित करने के लिए डेटा का एक स्रोत प्रदान करते हैं। उदाहरण के लिए, अंतर्निहित प्रदाता विंडोज़ पर्यावरण चर या सिस्टम रजिस्ट्री हो सकते हैं। समय पर दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए नए आपूर्तिकर्ताओं के उद्भव की निगरानी की जानी चाहिए। उदाहरण के लिए, यदि आप प्रदाताओं के बीच WSMan को प्रदर्शित होते देखते हैं, तो एक दूरस्थ पॉवरशेल सत्र शुरू हो गया है।

Microsoft-WindowsPowerShell / ऑपरेशनल लॉग (या MicrosoftWindows-PowerShellCore / PowerShell 6 में ऑपरेशनल)

मॉड्यूल लॉगिंग (इवेंट आईडी 4103)। ईवेंट प्रत्येक निष्पादित कमांड और उन मापदंडों के बारे में जानकारी संग्रहीत करते हैं जिनके साथ इसे कॉल किया गया था।

स्क्रिप्ट ब्लॉकिंग लॉगिंग (इवेंट आईडी 4104)। स्क्रिप्ट ब्लॉकिंग लॉगिंग निष्पादित पॉवरशेल कोड के प्रत्येक ब्लॉक को दिखाती है। भले ही कोई हमलावर कमांड को छिपाने की कोशिश करता है, यह ईवेंट प्रकार PowerShell कमांड दिखाएगा जो वास्तव में निष्पादित किया गया था। यह ईवेंट प्रकार कुछ निम्न-स्तरीय एपीआई कॉलों को भी लॉग कर सकता है, इन ईवेंट्स को आमतौर पर वर्बोज़ के रूप में रिकॉर्ड किया जाता है, लेकिन यदि कोड के ब्लॉक में एक संदिग्ध कमांड या स्क्रिप्ट का उपयोग किया जाता है, तो इसे चेतावनी गंभीरता के रूप में लॉग किया जाएगा।

कृपया ध्यान दें कि एक बार जब उपकरण इन घटनाओं को एकत्र करने और उनका विश्लेषण करने के लिए कॉन्फ़िगर किया जाता है, तो झूठी सकारात्मकता की संख्या को कम करने के लिए अतिरिक्त डिबगिंग समय की आवश्यकता होगी।

हमें टिप्पणियों में बताएं कि सूचना सुरक्षा ऑडिट के लिए आप कौन से लॉग एकत्र करते हैं और इसके लिए आप कौन से टूल का उपयोग करते हैं। हमारा एक फोकस क्षेत्र सूचना सुरक्षा घटनाओं की ऑडिटिंग के लिए समाधान है। लॉग एकत्र करने और उनका विश्लेषण करने की समस्या को हल करने के लिए, हम इस पर करीब से नज़र डालने का सुझाव दे सकते हैं क्वेस्ट इनट्रस्ट, जो 20:1 के अनुपात के साथ संग्रहीत डेटा को संपीड़ित कर सकता है, और इसका एक स्थापित उदाहरण 60000 स्रोतों से प्रति सेकंड 10000 घटनाओं को संसाधित करने में सक्षम है।

स्रोत: www.habr.com