Sysmon अब क्लिपबोर्ड सामग्री लिख सकता है

सिस्मोन के संस्करण 12 की रिलीज़ की घोषणा 17 सितंबर को की गई थी Sysinternals पेज. दरअसल, इसी दिन प्रोसेस मॉनिटर और प्रोकडंप के नए संस्करण भी जारी किए गए थे। इस लेख में मैं सिस्मोन के संस्करण 12 के प्रमुख और विवादास्पद नवाचार के बारे में बात करूंगा - इवेंट आईडी 24 के साथ घटनाओं का प्रकार, जिसमें क्लिपबोर्ड के साथ काम लॉग किया गया है।

इस प्रकार की घटना से प्राप्त जानकारी संदिग्ध गतिविधि (साथ ही नई कमजोरियों) पर नजर रखने के नए अवसर खोलती है। तो, आप समझ सकते हैं कि वास्तव में किसने, कहाँ और क्या कॉपी करने की कोशिश की। कट के नीचे नए इवेंट के कुछ क्षेत्रों और कुछ उपयोग मामलों का विवरण है।

नए ईवेंट में निम्नलिखित फ़ील्ड शामिल हैं:

छवि: वह प्रक्रिया जिससे डेटा क्लिपबोर्ड पर लिखा गया था।
सत्र: वह सत्र जिसमें क्लिपबोर्ड लिखा गया था. यह सिस्टम हो सकता है(0)
ऑनलाइन या दूर से काम करते समय, आदि।
ग्राहक जानकारी: इसमें सत्र उपयोगकर्ता नाम और, दूरस्थ सत्र के मामले में, मूल होस्टनाम और आईपी पता, यदि उपलब्ध हो, शामिल है।
हैश: उस फ़ाइल का नाम निर्धारित करता है जिसमें कॉपी किया गया टेक्स्ट सहेजा गया था (फ़ाइलडिलीट प्रकार की घटनाओं के साथ काम करने के समान)।
संग्रहीत: स्थिति, क्या क्लिपबोर्ड से पाठ Sysmon संग्रह निर्देशिका में सहेजा गया था।

अंतिम कुछ क्षेत्र चिंताजनक हैं। तथ्य यह है कि संस्करण 11 के बाद से Sysmon (उचित सेटिंग्स के साथ) विभिन्न डेटा को अपनी संग्रह निर्देशिका में सहेज सकता है। उदाहरण के लिए, इवेंट आईडी 23 फ़ाइल हटाने की घटनाओं को लॉग करता है और उन सभी को एक ही संग्रह निर्देशिका में सहेज सकता है। क्लिपबोर्ड के साथ काम करने के परिणामस्वरूप बनाई गई फ़ाइलों के नाम में CLIP टैग जोड़ा जाता है। फ़ाइलों में वही सटीक डेटा होता है जिसे क्लिपबोर्ड पर कॉपी किया गया था।

सहेजी गई फ़ाइल इस तरह दिखती है

इंस्टॉलेशन के दौरान फ़ाइल में सेव करना सक्षम किया गया है। आप उन प्रक्रियाओं की श्वेत सूचियाँ सेट कर सकते हैं जिनके लिए पाठ सहेजा नहीं जाएगा।

उपयुक्त संग्रह निर्देशिका सेटिंग्स के साथ सिस्मोन इंस्टॉलेशन इस तरह दिखता है:

यहां, मुझे लगता है, यह उन पासवर्ड प्रबंधकों को याद रखने लायक है जो क्लिपबोर्ड का भी उपयोग करते हैं। पासवर्ड मैनेजर वाले सिस्टम पर Sysmon होने से आपको (या हमलावर को) उन पासवर्डों को कैप्चर करने की अनुमति मिल जाएगी। यह मानते हुए कि आप जानते हैं कि कौन सी प्रक्रिया कॉपी किए गए टेक्स्ट को आवंटित कर रही है (और यह हमेशा पासवर्ड मैनेजर प्रक्रिया नहीं है, लेकिन शायद कुछ svchost है), इस अपवाद को सफेद सूची में जोड़ा जा सकता है और सहेजा नहीं जा सकता है।

आप नहीं जानते होंगे, लेकिन जब आप आरडीपी सत्र मोड में स्विच करते हैं तो क्लिपबोर्ड से टेक्स्ट रिमोट सर्वर द्वारा कैप्चर किया जाता है। यदि आपके क्लिपबोर्ड पर कुछ है और आप आरडीपी सत्रों के बीच स्विच करते हैं, तो वह जानकारी आपके साथ यात्रा करेगी।

आइए क्लिपबोर्ड के साथ काम करने के लिए सिस्मोन की क्षमताओं को संक्षेप में प्रस्तुत करें।

तय:

• आरडीपी के माध्यम से और स्थानीय रूप से चिपकाए गए पाठ की पाठ प्रति;
• विभिन्न उपयोगिताओं/प्रक्रियाओं द्वारा क्लिपबोर्ड से डेटा कैप्चर करें;
• टेक्स्ट को स्थानीय वर्चुअल मशीन से कॉपी/पेस्ट करें, भले ही यह टेक्स्ट अभी तक पेस्ट नहीं किया गया हो।

दर्ज नहीं है:

• स्थानीय वर्चुअल मशीन से फ़ाइलों को कॉपी/पेस्ट करना;
• RDP के माध्यम से फ़ाइलें कॉपी/पेस्ट करें
• एक मैलवेयर जो आपके क्लिपबोर्ड को हाईजैक कर लेता है वह केवल क्लिपबोर्ड पर ही लिखता है।

इसकी अस्पष्टता के बावजूद, इस प्रकार की घटना आपको हमलावर के कार्यों के एल्गोरिदम को पुनर्स्थापित करने की अनुमति देगी और हमलों के बाद पोस्टमार्टम के गठन के लिए पहले से दुर्गम डेटा की पहचान करने में मदद करेगी। यदि क्लिपबोर्ड पर सामग्री लिखना अभी भी सक्षम है, तो संग्रह निर्देशिका तक प्रत्येक पहुंच को रिकॉर्ड करना और संभावित खतरनाक लोगों की पहचान करना महत्वपूर्ण है (sysmon.exe द्वारा शुरू नहीं किया गया)।

ऊपर सूचीबद्ध घटनाओं को रिकॉर्ड करने, विश्लेषण करने और उन पर प्रतिक्रिया देने के लिए, आप टूल का उपयोग कर सकते हैं देख-रेख में रखना, जो सभी तीन दृष्टिकोणों को जोड़ता है और इसके अलावा, सभी एकत्रित कच्चे डेटा का एक प्रभावी केंद्रीकृत भंडार है। हम कच्चे डेटा के प्रसंस्करण और भंडारण को इनट्रस्ट में स्थानांतरित करके उनकी लाइसेंसिंग की लागत को कम करने के लिए लोकप्रिय एसआईईएम सिस्टम के साथ इसके एकीकरण को कॉन्फ़िगर कर सकते हैं।

इनट्रस्ट के बारे में अधिक जानने के लिए, हमारे पिछले लेख पढ़ें फीडबैक फॉर्म में एक अनुरोध छोड़ें.

एसआईईएम प्रणाली के स्वामित्व की लागत कैसे कम करें और आपको सेंट्रल लॉग मैनेजमेंट (सीएलएम) की आवश्यकता क्यों है

हम विंडोज़ में संदिग्ध प्रक्रियाओं के लॉन्च के बारे में घटनाओं के संग्रह को सक्षम करते हैं और क्वेस्ट इनट्रस्ट का उपयोग करके खतरों की पहचान करते हैं

InTrust RDP के माध्यम से विफल प्राधिकरण प्रयासों की दर को कम करने में कैसे मदद कर सकता है

हम रैंसमवेयर हमले का पता लगाते हैं, डोमेन नियंत्रक तक पहुंच प्राप्त करते हैं और इन हमलों का विरोध करने का प्रयास करते हैं

विंडोज़-आधारित वर्कस्टेशन के लॉग से कौन सी उपयोगी चीज़ें निकाली जा सकती हैं? (लोकप्रिय लेख)

ये किसने किया? हम सूचना सुरक्षा ऑडिट को स्वचालित करते हैं

स्रोत: www.habr.com