Sysmon-ს ახლა შეუძლია ბუფერში შიგთავსის დაწერა

Sysmon-ის მე-12 ვერსიის გამოშვება გამოცხადდა 17 სექტემბერს Sysinternals გვერდი. ფაქტობრივად, ამ დღეს გამოვიდა Process Monitor-ისა და ProcDump-ის ახალი ვერსიებიც. ამ სტატიაში ვისაუბრებ Sysmon-ის მე-12 ვერსიის საკვანძო და საკამათო სიახლეზე - მოვლენების ტიპზე Event ID 24-ით, რომელშიც ჩაწერილია ბუფერთან მუშაობა.

ამ ტიპის ღონისძიების ინფორმაცია ხსნის ახალ შესაძლებლობებს საეჭვო აქტივობების (ისევე როგორც ახალი დაუცველობის) მონიტორინგისთვის. ასე რომ, თქვენ შეგიძლიათ გაიგოთ, ვინ, სად და რისი გადაწერა სცადეს. ჭრილის ქვემოთ არის ახალი მოვლენის ზოგიერთი ველის აღწერა და გამოყენების რამდენიმე შემთხვევა.

ახალი ღონისძიება შეიცავს შემდეგ ველებს:

სურათი: პროცესი, საიდანაც მონაცემები ჩაიწერა ბუფერში.
სესია: სესია, რომელშიც ბუფერში დაიწერა. ეს შეიძლება იყოს სისტემა (0)
ონლაინ ან დისტანციურად მუშაობისას და ა.შ.
კლიენტის ინფორმაცია: შეიცავს სესიის მომხმარებლის სახელს და, დისტანციური სესიის შემთხვევაში, ორიგინალური ჰოსტის სახელს და IP მისამართს, თუ ეს შესაძლებელია.
ჰეშები: განსაზღვრავს ფაილის სახელს, რომელშიც დაკოპირებული ტექსტი იყო შენახული (მსგავსია FileDelete ტიპის მოვლენებთან მუშაობისას).
დაარქივებულია: სტატუსი, იყო თუ არა ტექსტი ბუფერიდან შენახული Sysmon-ის არქივის დირექტორიაში.

ბოლო ორი ველი საგანგაშოა. ფაქტია, რომ 11 ვერსიიდან Sysmon-ს შეუძლია (შესაბამისი პარამეტრებით) შეინახოს სხვადასხვა მონაცემები თავის არქივის დირექტორიაში. მაგალითად, Event ID 23 აღრიცხავს ფაილის წაშლის მოვლენებს და შეუძლია შეინახოს ისინი იმავე საარქივო დირექტორიაში. CLIP ტეგი ემატება ბუფერთან მუშაობის შედეგად შექმნილი ფაილების სახელს. თავად ფაილები შეიცავს ზუსტ მონაცემებს, რომლებიც დაკოპირდა ბუფერში.

ასე გამოიყურება შენახული ფაილი

ფაილში შენახვა ჩართულია ინსტალაციის დროს. თქვენ შეგიძლიათ დააყენოთ პროცესების თეთრი სიები, რომლებშიც ტექსტი არ შეინახება.

ასე გამოიყურება Sysmon-ის ინსტალაცია შესაბამისი საარქივო დირექტორიის პარამეტრებით:

აქ, ვფიქრობ, ღირს პაროლის მენეჯერების დამახსოვრება, რომლებიც ასევე იყენებენ ბუფერს. Sysmon სისტემაში პაროლის მენეჯერის არსებობით საშუალებას მოგცემთ (ან თავდამსხმელს) დაიჭიროთ ეს პაროლები. თუ ვივარაუდებთ, რომ თქვენ იცით, რომელი პროცესი ანაწილებს კოპირებულ ტექსტს (და ეს ყოველთვის არ არის პაროლის მენეჯერის პროცესი, მაგრამ შესაძლოა ზოგიერთი svchost), ეს გამონაკლისი შეიძლება დაემატოს თეთრ სიას და არ შეინახოს.

თქვენ შეიძლება არ იცოდეთ, მაგრამ ტექსტი ბუფერიდან იწერება დისტანციური სერვერის მიერ, როდესაც მასზე გადართავთ RDP სესიის რეჟიმში. თუ რაიმე გაქვთ თქვენს ბუფერზე და გადაერთვებით RDP სესიებს შორის, ეს ინფორმაცია თქვენთან ერთად გადავა.

მოდით შევაჯამოთ Sysmon-ის შესაძლებლობები ბუფერთან მუშაობისთვის.

დაფიქსირდა:

• ჩასმული ტექსტის ტექსტური ასლი RDP-ით და ადგილობრივად;
• მონაცემების გადაღება ბუფერიდან სხვადასხვა კომუნალური/პროცესების საშუალებით;
• დააკოპირეთ/ჩასვით ტექსტი ლოკალურ ვირტუალურ მანქანაში, მაშინაც კი, თუ ეს ტექსტი ჯერ არ არის ჩასმული.

არ არის ჩაწერილი:

• ფაილების კოპირება/ჩასმა ლოკალურ ვირტუალურ მანქანაში;
• დააკოპირეთ/ჩასვით ფაილები RDP-ის საშუალებით
• მავნე პროგრამა, რომელიც იტაცებს თქვენს ბუფერს, წერს მხოლოდ ბუფერში.

მიუხედავად მისი გაურკვევლობისა, ამ ტიპის ღონისძიება საშუალებას მოგცემთ აღადგინოთ თავდამსხმელის მოქმედებების ალგორითმი და დაგვეხმაროთ ადრე მიუწვდომელი მონაცემების იდენტიფიცირებაში თავდასხმების შემდეგ სიკვდილის შემდგომი ფორმირებისთვის. თუ ბუფერში შინაარსის ჩაწერა ჯერ კიდევ ჩართულია, მნიშვნელოვანია ჩაწეროთ ყველა წვდომა საარქივო დირექტორიაში და იდენტიფიციროთ პოტენციურად საშიში პირობა (არ არის ინიცირებული sysmon.exe-ის მიერ).

ზემოთ ჩამოთვლილ მოვლენებზე ჩასაწერად, გასაანალიზებლად და რეაგირებისთვის შეგიძლიათ გამოიყენოთ ინსტრუმენტი InTrust, რომელიც აერთიანებს სამივე მიდგომას და, გარდა ამისა, არის ყველა შეგროვებული ნედლეული მონაცემების ეფექტური ცენტრალიზებული საცავი. ჩვენ შეგვიძლია დავაკონფიგურიროთ მისი ინტეგრაცია პოპულარულ SIEM სისტემებთან, რათა მინიმუმამდე დავიყვანოთ მათი ლიცენზირების ღირებულება InTrust-ში ნედლეულის დამუშავებისა და შენახვის გზით.

InTrust-ის შესახებ მეტი ინფორმაციისთვის წაიკითხეთ ჩვენი წინა სტატიები ან დატოვეთ მოთხოვნა გამოხმაურების ფორმაში.

როგორ შევამციროთ SIEM სისტემის საკუთრების ღირებულება და რატომ გჭირდებათ ცენტრალური ჟურნალის მენეჯმენტი (CLM)

ჩვენ ვააქტიურებთ ღონისძიებების შეგროვებას Windows-ში საეჭვო პროცესების გაშვების შესახებ და საფრთხეების იდენტიფიცირებას Quest InTrust-ის გამოყენებით

როგორ შეუძლია InTrust-ს დაეხმაროს RDP-ის მეშვეობით ავტორიზაციის წარუმატებელი მცდელობების სიხშირის შემცირებაში

ჩვენ აღმოვაჩენთ გამოსასყიდის შეტევას, ვიღებთ წვდომას დომენის კონტროლერზე და ვცდილობთ წინააღმდეგობა გავუწიოთ ამ შეტევებს

რა სასარგებლო ნივთების ამოღება შეიძლება Windows-ზე დაფუძნებული სამუშაო სადგურის ჟურნალებიდან? (პოპულარული სტატია)

ვინ გააკეთა? ჩვენ ავტომატიზირებს ინფორმაციის უსაფრთხოების აუდიტს

წყარო: www.habr.com