{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"A Sysmon most m\u00e1r k\u00e9pes r\u00f6gz\u00edteni a v\u00e1g\u00f3lap tartalm\u00e1t","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A 12. verzi\u00f3j\u00fa Sysmon megjelen\u00e9s\u00e9r\u0151l szeptember 17-\u00e9n \u00e9rtes\u00edtett\u00e9k a Sysinternals oldal\u00e1n<\/a><\/noindex>. Val\u00f3j\u00e1ban ezen a napon \u00faj verzi\u00f3k jelentek meg a Process Monitor \u00e9s a ProcDump sz\u00e1m\u00e1ra is. Ebben a cikkben a Sysmon 12-es verzi\u00f3j\u00e1nak kulcsfontoss\u00e1g\u00fa \u00e9s ellentmond\u00e1sos \u00fajdons\u00e1g\u00e1r\u00f3l \u00edrok \u2014 a 24-es esem\u00e9ny ID-vel rendelkez\u0151 esem\u00e9nyt\u00edpusr\u00f3l, amely a v\u00e1g\u00f3lappal v\u00e9gzett m\u0171veleteket napl\u00f3zza.<\/p>\n

\"A
\n
\nEbb\u0151l az esem\u00e9nyt\u00edpusb\u00f3l sz\u00e1rmaz\u00f3 inform\u00e1ci\u00f3k \u00faj lehet\u0151s\u00e9geket nyitnak meg a gyan\u00fas tev\u00e9kenys\u00e9gek ellen\u0151rz\u00e9s\u00e9re (\u00e9s \u00faj sebezhet\u0151s\u00e9gekre is). \u00cdgy \u00e9rtheti, hogy ki, honnan \u00e9s mit pr\u00f3b\u00e1ltak m\u00e1solni. Az al\u00e1bbiakban n\u00e9h\u00e1ny mez\u0151 le\u00edr\u00e1s\u00e1t \u00e9s egy-k\u00e9t felhaszn\u00e1l\u00e1si esetet tal\u00e1l.
\n<\/a><\/noindex>
\nAz \u00faj esem\u00e9ny az al\u00e1bbi mez\u0151ket tartalmazza:<\/p>\n

K\u00e9p:<\/b> a folyamat, amelyb\u0151l az adatok a v\u00e1g\u00f3lapra ker\u00fcltek.
\nSession:<\/b> az a szakasz, amelyben a v\u00e1g\u00f3lapra val\u00f3 \u00edr\u00e1s v\u00e9grehajt\u00e1sra ker\u00fclt. Ez lehet system(0)
\n interakt\u00edv vagy t\u00e1voli m\u00f3dban t\u00f6rt\u00e9n\u0151 munkav\u00e9gz\u00e9s eset\u00e9n stb.
\nClientInfo:<\/b> tartalmazza a felhaszn\u00e1l\u00f3nev\u00e9t a szakaszban, a t\u00e1voli szakasz eset\u00e9n pedig a forr\u00e1s g\u00e9p nev\u00e9t \u00e9s IP-c\u00edm\u00e9t, ha ezek az adatok el\u00e9rhet\u0151k.
\nHashok:<\/b> meghat\u00e1rozza a f\u00e1jl nev\u00e9t, amelyben a kim\u00e1solt sz\u00f6veg t\u00e1rolva lett (hasonl\u00f3an a FileDelete esem\u00e9nyt\u00edpusokhoz).
\nArchiv\u00e1lt:<\/b> a st\u00e1tusz, hogy a v\u00e1g\u00f3lapr\u00f3l kim\u00e1solt sz\u00f6veg el lett-e mentve a Sysmon arch\u00edv k\u00f6nyvt\u00e1r\u00e1ba.<\/p>\n

Az utols\u00f3 mez\u0151k aggaszt\u00f3ak. Az a helyzet, hogy a 11-es verzi\u00f3 \u00f3ta a Sysmon (megfelel\u0151 be\u00e1ll\u00edt\u00e1sokkal) k\u00fcl\u00f6nb\u00f6z\u0151 adatokat tud menteni az arch\u00edv k\u00f6nyvt\u00e1r\u00e1ba. P\u00e9ld\u00e1ul a 23-as esem\u00e9ny ID a f\u00e1jlok t\u00f6rl\u00e9s\u00e9vel kapcsolatos esem\u00e9nyeket napl\u00f3zza, \u00e9s k\u00e9pes ezeket ugyanabba az arch\u00edv k\u00f6nyvt\u00e1rba menteni. A v\u00e1g\u00f3lappal v\u00e9gzett m\u0171veletek eredm\u00e9nyek\u00e9nt l\u00e9trej\u00f6tt f\u00e1jlok neveihez CLIP c\u00edmke t\u00e1rsul. Maguk a f\u00e1jlok tartalmazz\u00e1k a v\u00e1g\u00f3lapra m\u00e1solt pontos adatokat.<\/p>\n

\u00cdgy n\u00e9z ki a mentett f\u00e1jl<\/b>
\n \"A<\/p>\n

\nA f\u00e1jlba val\u00f3 ment\u00e9s telep\u00edt\u00e9skor aktiv\u00e1l\u00f3dik. Feh\u00e9rlist\u00e1s folyamatokat lehet be\u00e1ll\u00edtani, amelyek eset\u00e9n a sz\u00f6veget nem menti el.<\/p>\n

\u00cdgy n\u00e9z ki a Sysmon telep\u00edt\u00e9se a megfelel\u0151 arch\u00edv k\u00f6nyvt\u00e1ri be\u00e1ll\u00edt\u00e1ssal:<\/b>
\n \"A<\/p>\n

\nItt \u00e9rdemes megeml\u00edteni a jelsz\u00f3kezel\u0151ket, amelyek szint\u00e9n haszn\u00e1lj\u00e1k a v\u00e1g\u00f3lapot. A Sysmon megl\u00e9te egy jelsz\u00f3kezel\u0151vel egy\u00fctt lehet\u0151v\u00e9 teszi, hogy \u00d6n (vagy egy t\u00e1mad\u00f3) r\u00f6gz\u00edtse ezeket a jelszavakat. Ha felt\u00e9telezz\u00fck, hogy tudja, melyik folyamat allok\u00e1lja a kim\u00e1solt sz\u00f6veget (ez nem mindig a jelsz\u00f3kezel\u0151 folyamata, lehet p\u00e9ld\u00e1ul valami svchost), ezt a kiv\u00e9telt feh\u00e9rlist\u00e1ra lehet tenni, \u00e9s nem menteni.<\/p>\n

Lehet, hogy nem tudtad, de a v\u00e1g\u00f3lap tartalma \u00e1tker\u00fcl a t\u00e1voli szerverre, amikor RDP munkamenetre v\u00e1ltasz. Ha van valami a v\u00e1g\u00f3lapon, \u00e9s v\u00e1ltogatsz az RDP munkamenetek k\u00f6z\u00f6tt, ez az inform\u00e1ci\u00f3 veled fog utazni.<\/p>\n

\u00d6sszefoglalva a Sysmon v\u00e1g\u00f3lapkezel\u00e9si lehet\u0151s\u00e9geit.<\/p>\n

R\u00f6gz\u00edtve:<\/p>\n