सिस्मोन खतरा विश्लेषण गाइड, भाग 1

यह लेख सिस्मोन खतरे के विश्लेषण पर एक श्रृंखला का पहला भाग है। श्रृंखला के अन्य सभी भाग:

भाग 1: सिस्मोन लॉग विश्लेषण का परिचय (हम यहाँ हैं)
भाग 2: खतरों की पहचान करने के लिए सिस्मोन इवेंट डेटा का उपयोग करना
भाग 3. ग्राफ़ का उपयोग करके सिस्मोन खतरों का गहन विश्लेषण

यदि आप सूचना सुरक्षा में काम करते हैं, तो संभवतः आपको अक्सर चल रहे हमलों को समझना होगा। यदि आपके पास पहले से ही प्रशिक्षित आंख है, तो आप "कच्चे" असंसाधित लॉग में गैर-मानक गतिविधि देख सकते हैं - मान लीजिए, एक पावरशेल स्क्रिप्ट चल रही है डाउनलोडस्ट्रिंग कमांड के साथ या एक वीबीएस स्क्रिप्ट जो एक वर्ड फ़ाइल होने का दिखावा कर रही है - बस विंडोज इवेंट लॉग में नवीनतम गतिविधि के माध्यम से स्क्रॉल करना। लेकिन ये वाकई बहुत बड़ा सिरदर्द है. सौभाग्य से, Microsoft ने Sysmon बनाया, जो हमले के विश्लेषण को बहुत आसान बनाता है।

सिस्मोन लॉग में प्रदर्शित खतरों के पीछे के मूल विचारों को समझना चाहते हैं? हमारी मार्गदर्शिका डाउनलोड करें जासूसी के साधन के रूप में WMI घटनाएँ और आपको एहसास होता है कि कैसे अंदरूनी लोग गुप्त रूप से अन्य कर्मचारियों पर नजर रख सकते हैं। विंडोज़ इवेंट लॉग के साथ काम करने में मुख्य समस्या मूल प्रक्रियाओं के बारे में जानकारी की कमी है, अर्थात। इससे प्रक्रियाओं के पदानुक्रम को समझना असंभव है। दूसरी ओर, Sysmon लॉग प्रविष्टियों में मूल प्रक्रिया आईडी, उसका नाम और लॉन्च की जाने वाली कमांड लाइन शामिल होती है। धन्यवाद, माइक्रोसॉफ्ट.

हमारी श्रृंखला के पहले भाग में, हम देखेंगे कि आप सिस्मोन की बुनियादी जानकारी के साथ क्या कर सकते हैं। भाग XNUMX में, हम अधिक जटिल अनुपालन संरचनाएँ बनाने के लिए मूल प्रक्रिया जानकारी का पूरा लाभ उठाएँगे जिन्हें ख़तरे के ग्राफ़ के रूप में जाना जाता है। तीसरे भाग में, हम एक सरल एल्गोरिदम देखेंगे जो ग्राफ़ के "वजन" का विश्लेषण करके असामान्य गतिविधि की खोज करने के लिए खतरे के ग्राफ़ को स्कैन करता है। और अंत में, आपको एक साफ-सुथरी (और समझने योग्य) संभाव्य खतरे का पता लगाने की विधि से पुरस्कृत किया जाएगा।

भाग 1: सिस्मोन लॉग विश्लेषण का परिचय

इवेंट लॉग की जटिलताओं को समझने में आपको क्या मदद मिल सकती है? अंततः - सिएम। यह घटनाओं को सामान्य बनाता है और उनके बाद के विश्लेषण को सरल बनाता है। लेकिन हमें इतनी दूर जाने की ज़रूरत नहीं है, कम से कम शुरुआत में तो नहीं। शुरुआत में, एसआईईएम के सिद्धांतों को समझने के लिए, अद्भुत मुफ्त सिस्मोन उपयोगिता को आज़माना पर्याप्त होगा। और उसके साथ काम करना आश्चर्यजनक रूप से आसान है। इसे जारी रखो, माइक्रोसॉफ्ट!

सिस्मोन में क्या विशेषताएं हैं?

संक्षेप में - प्रक्रियाओं के बारे में उपयोगी और पठनीय जानकारी (नीचे चित्र देखें)। आपको उपयोगी विवरणों का एक समूह मिलेगा जो विंडोज़ इवेंट लॉग में नहीं हैं, लेकिन सबसे महत्वपूर्ण निम्नलिखित फ़ील्ड हैं:

• प्रक्रिया आईडी (दशमलव में, हेक्सागोनल नहीं!)
• मूल प्रक्रिया आईडी
• प्रक्रिया कमांड लाइन
• मूल प्रक्रिया की कमांड लाइन
• फ़ाइल छवि हैश
• फ़ाइल छवि नाम

Sysmon को डिवाइस ड्राइवर और सेवा दोनों के रूप में स्थापित किया गया है - अधिक विवरण यहाँ. इसका मुख्य लाभ लॉग का विश्लेषण करने की क्षमता है कुछ की स्रोत, जानकारी का सहसंबंध और परिणामी मानों का आउटपुट पथ के साथ स्थित एक ईवेंट लॉग फ़ोल्डर में माइक्रोसॉफ्ट -> विंडोज़ -> सिस्मोन -> ऑपरेशनल. विंडोज़ लॉग में अपने स्वयं के रोंगटे खड़े कर देने वाले शोध में, मैंने पाया कि मुझे लगातार पॉवरशेल लॉग फ़ोल्डर और सुरक्षा फ़ोल्डर के बीच स्विच करना पड़ रहा है, किसी तरह दोनों के बीच मूल्यों को सहसंबंधित करने के एक साहसी प्रयास में इवेंट लॉग के माध्यम से फ़्लिक करना पड़ रहा है। . यह कभी भी आसान काम नहीं है, और जैसा कि मुझे बाद में एहसास हुआ, तुरंत एस्पिरिन का स्टॉक करना बेहतर था।

Sysmon अंतर्निहित प्रक्रियाओं को समझने में मदद करने के लिए उपयोगी (या जैसा कि विक्रेता कहना चाहते हैं, कार्रवाई योग्य) जानकारी प्रदान करके एक बड़ी छलांग लगाता है। उदाहरण के लिए, मैंने एक गुप्त सत्र शुरू किया wmiexec, नेटवर्क के भीतर एक स्मार्ट अंदरूनी सूत्र की गतिविधि का अनुकरण करना। यह वही है जो आप विंडोज़ इवेंट लॉग में देखेंगे:

विंडोज़ लॉग प्रक्रिया के बारे में कुछ जानकारी दिखाता है, लेकिन इसका बहुत कम उपयोग होता है। हेक्साडेसिमल में प्लस प्रक्रिया आईडी???

हैकिंग की बुनियादी समझ रखने वाले एक पेशेवर आईटी पेशेवर के लिए, कमांड लाइन संदिग्ध होनी चाहिए। फिर एक और कमांड चलाने और आउटपुट को एक अजीब नाम वाली फ़ाइल में रीडायरेक्ट करने के लिए cmd.exe का उपयोग करना स्पष्ट रूप से निगरानी और नियंत्रण सॉफ़्टवेयर की क्रियाओं के समान है कमांड-एंड-कंट्रोल (C2): इस तरह, WMI सेवाओं का उपयोग करके एक छद्म-शेल बनाया जाता है।
आइए अब सिस्मोन प्रविष्टि समकक्ष पर एक नज़र डालें, यह देखते हुए कि यह हमें कितनी अतिरिक्त जानकारी देती है:

एक स्क्रीनशॉट में सिस्मोन की विशेषताएं: पठनीय रूप में प्रक्रिया के बारे में विस्तृत जानकारी

आप न केवल कमांड लाइन देखते हैं, बल्कि फ़ाइल का नाम, निष्पादन योग्य एप्लिकेशन का पथ, विंडोज़ इसके बारे में क्या जानता है ("विंडोज़ कमांड प्रोसेसर"), पहचानकर्ता भी देखता है पैतृक प्रक्रिया, कमांड लाइन माता-पिता, जिसने cmd शेल, साथ ही मूल प्रक्रिया का वास्तविक फ़ाइल नाम लॉन्च किया। अंततः सब कुछ एक ही स्थान पर!
सिस्मोन लॉग से हम यह निष्कर्ष निकाल सकते हैं कि उच्च संभावना के साथ यह संदिग्ध कमांड लाइन जिसे हमने "कच्चे" लॉग में देखा था, कर्मचारी के सामान्य कार्य का परिणाम नहीं है। इसके बिल्कुल विपरीत, इसे C2-जैसी प्रक्रिया - wmiexec द्वारा उत्पन्न किया गया था, जैसा कि मैंने पहले उल्लेख किया था - और सीधे WMI सेवा प्रक्रिया (WmiPrvSe) द्वारा उत्पन्न किया गया था। अब हमारे पास एक संकेतक है कि एक दूरस्थ हमलावर या अंदरूनी सूत्र कॉर्पोरेट बुनियादी ढांचे का परीक्षण कर रहा है।

गेट-सिस्मोनलॉग्स का परिचय

निःसंदेह यह बहुत अच्छा है जब सिस्मोन लॉग को एक स्थान पर रखता है। लेकिन यह शायद और भी बेहतर होगा यदि हम अलग-अलग लॉग फ़ील्ड को प्रोग्रामेटिक रूप से एक्सेस कर सकें - उदाहरण के लिए, पावरशेल कमांड के माध्यम से। इस मामले में, आप एक छोटी पावरशेल स्क्रिप्ट लिख सकते हैं जो संभावित खतरों की खोज को स्वचालित कर देगी!
मैं ऐसा विचार रखने वाला पहला व्यक्ति नहीं था। और यह अच्छा है कि कुछ फ़ोरम पोस्ट और GitHub में परियोजनाओं यह पहले ही बताया जा चुका है कि Sysmon लॉग को पार्स करने के लिए PowerShell का उपयोग कैसे करें। मेरे मामले में, मैं प्रत्येक सिस्मोन फ़ील्ड के लिए पार्सिंग स्क्रिप्ट की अलग-अलग पंक्तियाँ लिखने से बचना चाहता था। इसलिए मैंने आलसी आदमी सिद्धांत का उपयोग किया और मुझे लगता है कि परिणामस्वरूप मैं कुछ दिलचस्प लेकर आया।
पहला महत्वपूर्ण बिंदु है टीम की क्षमता Get-WinEvent सिस्मोन लॉग पढ़ें, आवश्यक घटनाओं को फ़िल्टर करें और परिणाम को पीएस वेरिएबल में आउटपुट करें, जैसे यहां:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

यदि आप $events सरणी, $events[0].Message के पहले तत्व में सामग्री प्रदर्शित करके स्वयं कमांड का परीक्षण करना चाहते हैं, तो आउटपुट एक बहुत ही सरल प्रारूप के साथ टेक्स्ट स्ट्रिंग्स की एक श्रृंखला हो सकता है: का नाम सिस्मोन फ़ील्ड, एक कोलन, और फिर स्वयं मान।

हुर्रे! Sysmon लॉग को JSON-तैयार प्रारूप में आउटपुट करना

क्या आप भी मेरे जैसा ही सोच रहे हैं? थोड़े और प्रयास के साथ, आप आउटपुट को JSON स्वरूपित स्ट्रिंग में परिवर्तित कर सकते हैं और फिर इसे एक शक्तिशाली कमांड का उपयोग करके सीधे PS ऑब्जेक्ट में लोड कर सकते हैं कन्वर्टफ्रॉम-जेसन .
मैं रूपांतरण के लिए पावरशेल कोड दिखाऊंगा - यह बहुत सरल है - अगले भाग में। अभी के लिए, आइए देखें कि मेरा नया कमांड जिसे get-sysmonlogs कहा जाता है, जिसे मैंने PS मॉड्यूल के रूप में स्थापित किया है, क्या कर सकता है।
एक असुविधाजनक इवेंट लॉग इंटरफ़ेस के माध्यम से सिस्मोन लॉग विश्लेषण में गहराई से गोता लगाने के बजाय, हम आसानी से पावरशेल सत्र से सीधे वृद्धिशील गतिविधि की खोज कर सकते हैं, साथ ही पीएस कमांड का उपयोग भी कर सकते हैं। जहां (उर्फ - "?") खोज परिणामों को छोटा करने के लिए:

WMI के माध्यम से लॉन्च किए गए cmd शेल की सूची। हमारी अपनी Get-Sysmonlogs टीम के साथ सस्ते में ख़तरे का विश्लेषण

अद्भुत! मैंने सिस्मोन लॉग को सर्वेक्षण करने के लिए एक उपकरण बनाया जैसे कि यह एक डेटाबेस हो। के बारे में हमारे लेख में EQL यह नोट किया गया था कि यह फ़ंक्शन इसमें वर्णित शानदार उपयोगिता द्वारा किया जाएगा, हालांकि औपचारिक रूप से अभी भी एक वास्तविक SQL-जैसे इंटरफ़ेस के माध्यम से। हाँ, ईक्यूएल सुरुचिपूर्ण, लेकिन हम इस पर तीसरे भाग में बात करेंगे।

सिस्मोन और ग्राफ विश्लेषण

आइए पीछे हटें और सोचें कि हमने अभी क्या बनाया है। अनिवार्य रूप से, अब हमारे पास PowerShell के माध्यम से एक विंडोज़ इवेंट डेटाबेस पहुंच योग्य है। जैसा कि मैंने पहले उल्लेख किया है, रिकॉर्ड के बीच पेरेंटप्रोसेसआईडी के माध्यम से कनेक्शन या संबंध हैं - इसलिए प्रक्रियाओं का पूरा पदानुक्रम प्राप्त किया जा सकता है।

यदि आपने श्रृंखला पढ़ी है "मायावी मैलवेयर का रोमांच" आप जानते हैं कि हैकर्स जटिल मल्टी-स्टेज हमले बनाना पसंद करते हैं, जिसमें प्रत्येक प्रक्रिया अपनी छोटी भूमिका निभाती है और अगले चरण के लिए एक स्प्रिंगबोर्ड तैयार करती है। ऐसी चीज़ों को केवल "कच्चे" लॉग से पकड़ना बेहद मुश्किल है।
लेकिन मेरे Get-Sysmonlogs कमांड और एक अतिरिक्त डेटा संरचना के साथ जिसे हम बाद में पाठ में देखेंगे (निश्चित रूप से एक ग्राफ), हमारे पास खतरों का पता लगाने का एक व्यावहारिक तरीका है - जिसके लिए बस सही शीर्ष खोज करने की आवश्यकता है।
हमेशा की तरह हमारे DYI ब्लॉग प्रोजेक्ट के साथ, जितना अधिक आप छोटे पैमाने पर खतरों के विवरण का विश्लेषण करने पर काम करेंगे, उतना ही आपको एहसास होगा कि उद्यम स्तर पर खतरे का पता लगाना कितना जटिल है। और यह जागरूकता अत्यंत है महत्वपूर्ण बिंदु.

हम लेख के दूसरे भाग में पहली दिलचस्प जटिलताओं का सामना करेंगे, जहां हम सिस्मोन घटनाओं को एक-दूसरे के साथ और अधिक जटिल संरचनाओं में जोड़ना शुरू करेंगे।

स्रोत: www.habr.com