Sysmon יכולה כעת לכתוב את תוכן הלוח

שחרורו של גרסה 12 של Sysmon הוכרז ב-17 בספטמבר בשעה עמוד Sysinternals. למעשה, גם גרסאות חדשות של Process Monitor ו-ProcDump שוחררו ביום זה. במאמר זה אדבר על החידוש המרכזי והשנוי במחלוקת של גרסה 12 של Sysmon - סוג האירועים עם זיהוי אירוע 24, שאליהם נרשמת עבודה עם הלוח.

מידע מאירוע מסוג זה פותח אפשרויות חדשות לניטור פעילות חשודה (כמו גם פרצות חדשות). אז אתה יכול להבין את מי, איפה ומה בדיוק הם ניסו להעתיק. מתחת לגזרה יש תיאור של כמה תחומים של האירוע החדש וכמה מקרי שימוש.

האירוע החדש מכיל את השדות הבאים:

תמונה: התהליך שממנו נכתבו נתונים ללוח.
מושב: הפגישה שבה נכתב הלוח. זה יכול להיות מערכת (0)
בעבודה מקוונת או מרחוק וכו'.
מידע לקוח: מכיל את שם המשתמש של ההפעלה, ובמקרה של הפעלה מרחוק, את שם המארח המקורי וכתובת ה-IP, אם זמינים.
גיבוב: קובע את שם הקובץ בו נשמר הטקסט שהועתק (בדומה לעבודה עם אירועים מסוג FileDelete).
בארכיון: מצב, האם הטקסט מהלוח נשמר בספריית הארכיון של Sysmon.

שני השדות האחרונים מדאיגים. העובדה היא שמאז גרסה 11 Sysmon יכולה (עם הגדרות מתאימות) לשמור נתונים שונים בספריית הארכיון שלה. לדוגמה, מזהה אירוע 23 רושם אירועי מחיקת קבצים ויכול לשמור את כולם באותה ספריית ארכיון. תג CLIP נוסף לשם הקבצים שנוצרו כתוצאה מעבודה עם הלוח. הקבצים עצמם מכילים את הנתונים המדויקים שהועתקו ללוח.

כך נראה הקובץ השמור

שמירה בקובץ מופעלת במהלך ההתקנה. אתה יכול להגדיר רשימות לבנות של תהליכים שעבורם טקסט לא יישמר.

כך נראית התקנת Sysmon עם הגדרות ספריית הארכיון המתאימות:

כאן, לדעתי, כדאי לזכור מנהלי סיסמאות שמשתמשים גם בלוח. שימוש ב-Sysmon במערכת עם מנהל סיסמאות יאפשר לך (או לתוקף) ללכוד את הסיסמאות הללו. בהנחה שאתה יודע איזה תהליך מקצה את הטקסט המועתק (וזה לא תמיד תהליך מנהל הסיסמאות, אבל אולי איזה svchost), ניתן להוסיף את החריג הזה לרשימה הלבנה ולא לשמור.

אולי אתה לא יודע, אבל הטקסט מהלוח נקלט על ידי השרת המרוחק כשאתה עובר אליו במצב הפעלה RDP. אם יש לך משהו בלוח ואתה עובר בין הפעלות של RDP, המידע הזה יגיע איתך.

בואו נסכם את היכולות של Sysmon לעבודה עם הלוח.

תוקן:

• עותק טקסט של טקסט מודבק באמצעות RDP ומקומי;
• לכידת נתונים מהלוח על ידי כלי שירות/תהליכים שונים;
• העתק/הדבק טקסט מ/אל המחשב הווירטואלי המקומי, גם אם טקסט זה עדיין לא הודבק.

לא מוקלט:

• העתקה/הדבקה של קבצים מ/אל מכונה וירטואלית מקומית;
• העתק/הדבק קבצים דרך RDP
• תוכנה זדונית שחוטפת את הלוח שלך כותבת רק ללוח עצמו.

למרות העמימות שלו, אירוע מסוג זה יאפשר לך לשחזר את אלגוריתם הפעולות של התוקף ולעזור לזהות נתונים שלא היו נגישים בעבר להיווצרות נתיחה שלאחר המוות לאחר התקפות. אם כתיבת תוכן ללוח עדיין מופעלת, חשוב לתעד כל גישה לספריית הארכיון ולזהות גישה שעלולה להיות מסוכנת (לא יזומה על ידי sysmon.exe).

כדי להקליט, לנתח ולהגיב לאירועים המפורטים למעלה, אתה יכול להשתמש בכלי InTrust, המשלב את כל שלוש הגישות ובנוסף, מהווה מאגר מרכזי יעיל של כל הנתונים הגולמיים שנאספו. אנו יכולים להגדיר את האינטגרציה שלו עם מערכות SIEM פופולריות כדי למזער את עלות הרישוי שלהן על ידי העברת העיבוד והאחסון של נתונים גולמיים ל-InTrust.

למידע נוסף על InTrust, קרא את המאמרים הקודמים שלנו או השאירו בקשה בטופס המשוב.

כיצד להפחית את עלות הבעלות על מערכת SIEM ולמה אתה צריך ניהול יומנים מרכזיים (CLM)

אנו מאפשרים איסוף אירועים על השקת תהליכים חשודים ב-Windows ומזהים איומים באמצעות Quest InTrust

כיצד InTrust יכול לעזור להפחית את שיעור ניסיונות ההרשאה הכושלים באמצעות RDP

אנו מזהים מתקפת כופר, מקבלים גישה לבקר התחום ומנסים להתנגד להתקפות אלו

אילו דברים שימושיים ניתן לחלץ מהיומנים של תחנת עבודה מבוססת Windows? (מאמר פופולרי)

מי עשה את זה? אנו עושים אוטומציה של ביקורת אבטחת מידע

מקור: www.habr.com