តើអ្វីដែលមានប្រយោជន៍អាចត្រូវបានស្រង់ចេញពីកំណត់ហេតុនៃស្ថានីយការងារដែលមានមូលដ្ឋានលើវីនដូ?

ស្ថានីយការងារអ្នកប្រើប្រាស់គឺជាចំណុចងាយរងគ្រោះបំផុតនៃហេដ្ឋារចនាសម្ព័ន្ធទាក់ទងនឹងសុវត្ថិភាពព័ត៌មាន។ អ្នក​ប្រើ​អាច​នឹង​ទទួល​បាន​សំបុត្រ​ទៅ​អ៊ីមែល​ការងារ​របស់​ពួកគេ​ដែល​ទំនង​ជា​មក​ពី​ប្រភព​សុវត្ថិភាព ប៉ុន្តែ​មាន​តំណ​ទៅ​គេហទំព័រ​ដែល​មាន​មេរោគ។ ប្រហែលជាមាននរណាម្នាក់នឹងទាញយកឧបករណ៍ប្រើប្រាស់ដែលមានប្រយោជន៍សម្រាប់ការងារពីកន្លែងដែលមិនស្គាល់។ បាទ/ចាស អ្នកអាចរកឃើញករណីរាប់សិបនៃរបៀបដែលមេរោគអាចជ្រៀតចូលធនធានសាជីវកម្មខាងក្នុងតាមរយៈអ្នកប្រើប្រាស់។ ដូច្នេះ ស្ថានីយការងារទាមទារឱ្យមានការយកចិត្តទុកដាក់កាន់តែខ្លាំង ហើយនៅក្នុងអត្ថបទនេះ យើងនឹងប្រាប់អ្នកពីទីកន្លែង និងព្រឹត្តិការណ៍ណាដែលត្រូវធ្វើឡើង ដើម្បីតាមដានការវាយប្រហារ។

ដើម្បីស្វែងរកការវាយប្រហារនៅដំណាក់កាលដំបូងបំផុតដែលអាចធ្វើបាន WIndows មានប្រភពព្រឹត្តិការណ៍មានប្រយោជន៍បី៖ កំណត់ហេតុព្រឹត្តិការណ៍សុវត្ថិភាព កំណត់ហេតុត្រួតពិនិត្យប្រព័ន្ធ និងកំណត់ហេតុថាមពលសែល។

កំណត់ហេតុព្រឹត្តិការណ៍សុវត្ថិភាព

នេះគឺជាទីតាំងផ្ទុកសំខាន់សម្រាប់កំណត់ហេតុសុវត្ថិភាពប្រព័ន្ធ។ នេះរួមបញ្ចូលទាំងព្រឹត្តិការណ៍នៃការចូល/ចេញរបស់អ្នកប្រើប្រាស់ ការចូលប្រើវត្ថុ ការផ្លាស់ប្តូរគោលការណ៍ និងសកម្មភាពដែលទាក់ទងនឹងសុវត្ថិភាពផ្សេងទៀត។ ជាការពិតណាស់ប្រសិនបើគោលការណ៍សមស្របត្រូវបានកំណត់រចនាសម្ព័ន្ធ។

ការរាប់ចំនួនអ្នកប្រើប្រាស់ និងក្រុម (ព្រឹត្តិការណ៍ 4798 និង 4799)។ នៅដើមដំបូងនៃការវាយប្រហារ មេរោគតែងតែស្វែងរកតាមរយៈគណនីអ្នកប្រើប្រាស់ក្នុងស្រុក និងក្រុមក្នុងតំបន់នៅលើស្ថានីយការងារមួយ ដើម្បីស្វែងរកព័ត៌មានសម្ងាត់សម្រាប់ការដោះស្រាយស្រមោលរបស់វា។ ព្រឹត្តិការណ៍ទាំងនេះនឹងជួយរកឱ្យឃើញកូដព្យាបាទ មុនពេលវាដំណើរការ ហើយដោយប្រើទិន្នន័យដែលប្រមូលបាន រីករាលដាលទៅប្រព័ន្ធផ្សេងទៀត។

ការបង្កើតគណនីមូលដ្ឋាន និងការផ្លាស់ប្តូរនៅក្នុងក្រុមក្នុងតំបន់ (ព្រឹត្តិការណ៍ 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 និង 5377) ។ ជាឧទាហរណ៍ ការវាយប្រហារក៏អាចចាប់ផ្តើមដោយការបន្ថែមអ្នកប្រើប្រាស់ថ្មីទៅក្នុងក្រុមអ្នកគ្រប់គ្រងក្នុងតំបន់។

ព្យាយាមចូលដោយប្រើគណនីក្នុងស្រុក (ព្រឹត្តិការណ៍ 4624)។ អ្នកប្រើប្រាស់គួរឱ្យគោរពចូលដោយប្រើគណនីដែន ហើយការកំណត់អត្តសញ្ញាណការចូលនៅក្រោមគណនីមូលដ្ឋានអាចមានន័យថាការចាប់ផ្តើមនៃការវាយប្រហារ។ ព្រឹត្តិការណ៍ 4624 ក៏រួមបញ្ចូលការចូលនៅក្រោមគណនីដែនផងដែរ ដូច្នេះនៅពេលដំណើរការព្រឹត្តិការណ៍ អ្នកត្រូវត្រងព្រឹត្តិការណ៍ដែលដែនខុសពីឈ្មោះស្ថានីយការងារ។

ការប៉ុនប៉ងចូលដោយប្រើគណនីដែលបានបញ្ជាក់ (ព្រឹត្តិការណ៍ 4648) ។ វាកើតឡើងនៅពេលដែលដំណើរការកំពុងដំណើរការក្នុងរបៀប "រត់ជា"។ វាមិនគួរកើតឡើងក្នុងអំឡុងពេលប្រតិបត្តិការធម្មតានៃប្រព័ន្ធទេ ដូច្នេះព្រឹត្តិការណ៍បែបនេះត្រូវតែត្រូវបានគ្រប់គ្រង។

ការចាក់សោ / ដោះសោស្ថានីយការងារ (ព្រឹត្តិការណ៍ 4800-4803) ។ ប្រភេទនៃព្រឹត្តិការណ៍គួរឱ្យសង្ស័យរួមមានសកម្មភាពណាមួយដែលបានកើតឡើងនៅលើស្ថានីយការងារដែលត្រូវបានចាក់សោ។

ការផ្លាស់ប្តូរការកំណត់រចនាសម្ព័ន្ធជញ្ជាំងភ្លើង (ព្រឹត្តិការណ៍ 4944-4958) ។ ជាក់ស្តែង នៅពេលដំឡើងកម្មវិធីថ្មី ការកំណត់រចនាសម្ព័ន្ធជញ្ជាំងភ្លើងអាចនឹងផ្លាស់ប្តូរ ដែលនឹងបណ្តាលឱ្យមានភាពវិជ្ជមានមិនពិត។ ក្នុងករណីភាគច្រើន មិនចាំបាច់គ្រប់គ្រងការផ្លាស់ប្តូរបែបនេះទេ ប៉ុន្តែវាពិតជាមិនឈឺចាប់ក្នុងការដឹងអំពីពួកវានោះទេ។

ការភ្ជាប់ឧបករណ៍ Plug'n'play (ព្រឹត្តិការណ៍ 6416 និងសម្រាប់តែ Windows 10 ប៉ុណ្ណោះ)។ វាជារឿងសំខាន់ក្នុងការតាមដានរឿងនេះ ប្រសិនបើអ្នកប្រើជាធម្មតាមិនភ្ជាប់ឧបករណ៍ថ្មីទៅស្ថានីយការងារ ប៉ុន្តែភ្លាមៗនោះពួកគេធ្វើបែបនេះ។

វីនដូរួមមាន 9 ប្រភេទសវនកម្ម និង 50 ប្រភេទរងសម្រាប់ការកែតម្រូវ។ សំណុំអប្បបរមានៃប្រភេទរងដែលគួរតែត្រូវបានបើកនៅក្នុងការកំណត់៖

ឡូហ្គូន / ឡូហ្គូល

• ចូល;
• ចាកចេញ;
• ការបិទគណនី;
• ព្រឹត្តិការណ៍ Logon/Logoff ផ្សេងទៀត។

ការគ្រប់គ្រងគណនី

• ការគ្រប់គ្រងគណនីអ្នកប្រើប្រាស់;
• ការគ្រប់គ្រងក្រុមសន្តិសុខ។

ការផ្លាស់ប្តូរគោលនយោបាយ

• ការផ្លាស់ប្តូរគោលនយោបាយសវនកម្ម;
• ការផ្លាស់ប្តូរគោលការណ៍ផ្ទៀងផ្ទាត់;
• ការផ្លាស់ប្តូរគោលការណ៍អនុញ្ញាត។

ម៉ូនីទ័រប្រព័ន្ធ (Sysmon)

Sysmon គឺជាឧបករណ៍ប្រើប្រាស់ដែលបានបង្កើតឡើងនៅក្នុង Windows ដែលអាចកត់ត្រាព្រឹត្តិការណ៍នៅក្នុងកំណត់ហេតុប្រព័ន្ធ។ ជាធម្មតាអ្នកត្រូវដំឡើងវាដោយឡែកពីគ្នា។

ជាគោលការណ៍ ព្រឹត្តិការណ៍ដូចគ្នាទាំងនេះអាចត្រូវបានរកឃើញនៅក្នុងកំណត់ហេតុសុវត្ថិភាព (ដោយការបើកគោលការណ៍សវនកម្មដែលចង់បាន) ប៉ុន្តែ Sysmon ផ្តល់ព័ត៌មានលម្អិតបន្ថែម។ តើ​ព្រឹត្តិការណ៍​អ្វី​ខ្លះ​អាច​យក​បាន​ពី Sysmon?

ដំណើរការបង្កើត (លេខសម្គាល់ព្រឹត្តិការណ៍ 1)។ កំណត់ហេតុព្រឹត្តិការណ៍សុវត្ថិភាពប្រព័ន្ធក៏អាចប្រាប់អ្នកផងដែរនៅពេលដែល *.exe បានចាប់ផ្តើម ហើយថែមទាំងបង្ហាញឈ្មោះរបស់វា និងផ្លូវបើកដំណើរការផងដែរ។ ប៉ុន្តែមិនដូច Sysmon ទេ វានឹងមិនអាចបង្ហាញ hash កម្មវិធីបានទេ។ កម្មវិធីព្យាបាទអាចត្រូវបានគេហៅថា notepad.exe ដែលមិនបង្កគ្រោះថ្នាក់ ប៉ុន្តែវាគឺជាសញ្ញាដែលនឹងនាំឱ្យវាភ្លឺ។

ការតភ្ជាប់បណ្តាញ (លេខសម្គាល់ព្រឹត្តិការណ៍ 3) ។ ជាក់ស្តែង មានការតភ្ជាប់បណ្តាញជាច្រើន ហើយវាមិនអាចទៅរួចទេក្នុងការតាមដានពួកវាទាំងអស់។ ប៉ុន្តែវាជាការសំខាន់ក្នុងការពិចារណាថា Sysmon មិនដូច Security Log ទេ អាចភ្ជាប់ការតភ្ជាប់បណ្តាញទៅវាល ProcessID និង ProcessGUID ហើយបង្ហាញច្រក និងអាសយដ្ឋាន IP នៃប្រភព និងទិសដៅ។

ការផ្លាស់ប្តូរនៅក្នុងបញ្ជីឈ្មោះប្រព័ន្ធ (លេខសម្គាល់ព្រឹត្តិការណ៍ 12-14) ។ មធ្យោបាយងាយស្រួលបំផុតដើម្បីបន្ថែមខ្លួនអ្នកទៅ autorun គឺត្រូវចុះឈ្មោះក្នុងបញ្ជីឈ្មោះ។ កំណត់ហេតុសុវត្ថិភាពអាចធ្វើដូចនេះបាន ប៉ុន្តែ Sysmon បង្ហាញថាអ្នកណាជាអ្នកធ្វើការផ្លាស់ប្តូរ ពេលណា ពីណា ដំណើរការលេខសម្គាល់ និងតម្លៃសោពីមុន។

ការបង្កើតឯកសារ (លេខសម្គាល់ព្រឹត្តិការណ៍ 11) ។ Sysmon មិនដូច Security Log នឹងបង្ហាញមិនត្រឹមតែទីតាំងរបស់ឯកសារប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានឈ្មោះរបស់វាផងដែរ។ វាច្បាស់ណាស់ថាអ្នកមិនអាចតាមដានអ្វីៗទាំងអស់បានទេ ប៉ុន្តែអ្នកអាចសវនកម្មបញ្ជីមួយចំនួនបាន។

ហើយឥឡូវនេះអ្វីដែលមិនមាននៅក្នុងគោលការណ៍សុវត្ថិភាព ប៉ុន្តែមាននៅក្នុង Sysmon៖

ការផ្លាស់ប្តូរពេលវេលាបង្កើតឯកសារ (លេខសម្គាល់ព្រឹត្តិការណ៍ 2) ។ មេរោគមួយចំនួនអាចក្លែងបន្លំកាលបរិច្ឆេទបង្កើតឯកសារ ដើម្បីលាក់វាពីរបាយការណ៍នៃឯកសារដែលបានបង្កើតថ្មីៗនេះ។

កំពុងផ្ទុកកម្មវិធីបញ្ជា និងបណ្ណាល័យថាមវន្ត (លេខសម្គាល់ព្រឹត្តិការណ៍ 6-7)។ ការតាមដានការផ្ទុក DLLs និងកម្មវិធីបញ្ជាឧបករណ៍ទៅក្នុងអង្គចងចាំ ពិនិត្យមើលហត្ថលេខាឌីជីថល និងសុពលភាពរបស់វា។

បង្កើតខ្សែស្រឡាយនៅក្នុងដំណើរការដែលកំពុងដំណើរការ (លេខសម្គាល់ព្រឹត្តិការណ៍ 8) ។ ការវាយប្រហារមួយប្រភេទ ដែលត្រូវត្រួតពិនិត្យផងដែរ។

ព្រឹត្តិការណ៍ RawAccessRead (លេខសម្គាល់ព្រឹត្តិការណ៍ 9) ។ ប្រតិបត្តិការអានថាសដោយប្រើ "" ។ ក្នុងករណីភាគច្រើនសកម្មភាពបែបនេះគួរតែត្រូវបានចាត់ទុកថាមិនប្រក្រតី។

បង្កើតស្ទ្រីមឯកសារដែលមានឈ្មោះ (លេខសម្គាល់ព្រឹត្តិការណ៍ 15) ។ ព្រឹត្តិការណ៍មួយត្រូវបានកត់ត្រានៅពេលដែលស្ទ្រីមឯកសារដែលមានឈ្មោះត្រូវបានបង្កើត ដែលបញ្ចេញព្រឹត្តិការណ៍ជាមួយនឹងសញ្ញានៃមាតិការបស់ឯកសារ។

ការបង្កើតបំពង់ដែលមានឈ្មោះ និងការតភ្ជាប់ (លេខសម្គាល់ព្រឹត្តិការណ៍ 17-18)។ តាមដានកូដព្យាបាទដែលទាក់ទងជាមួយសមាសធាតុផ្សេងទៀតតាមរយៈបំពង់ដែលមានឈ្មោះ។

សកម្មភាព WMI (លេខសម្គាល់ព្រឹត្តិការណ៍ 19) ។ ការចុះឈ្មោះព្រឹត្តិការណ៍ដែលត្រូវបានបង្កើតនៅពេលចូលប្រើប្រព័ន្ធតាមរយៈពិធីការ WMI ។

ដើម្បីការពារ Sysmon ខ្លួនឯង អ្នកត្រូវតាមដានព្រឹត្តិការណ៍ជាមួយនឹង ID 4 (Sysmon stoping and start) និង ID 16 (ការផ្លាស់ប្តូរការកំណត់រចនាសម្ព័ន្ធ Sysmon)។

កំណត់ហេតុថាមពលសែល

Power Shell គឺជាឧបករណ៍ដ៏មានឥទ្ធិពលសម្រាប់គ្រប់គ្រងហេដ្ឋារចនាសម្ព័ន្ធរបស់ Windows ដូច្នេះឱកាសមានខ្ពស់ដែលអ្នកវាយប្រហារនឹងជ្រើសរើសវា។ មានប្រភពពីរដែលអ្នកអាចប្រើដើម្បីទទួលបានទិន្នន័យព្រឹត្តិការណ៍ Power Shell៖ Windows PowerShell log និង Microsoft-WindowsPowerShell/Operational log ។

កំណត់ហេតុ Windows PowerShell

អ្នកផ្តល់ទិន្នន័យត្រូវបានផ្ទុក (លេខសម្គាល់ព្រឹត្តិការណ៍ 600) ។ អ្នកផ្តល់ PowerShell គឺជាកម្មវិធីដែលផ្តល់ប្រភពទិន្នន័យសម្រាប់ PowerShell ដើម្បីមើល និងគ្រប់គ្រង។ ឧទាហរណ៍ អ្នកផ្តល់សេវាដែលភ្ជាប់មកជាមួយអាចជាអថេរបរិស្ថានវីនដូ ឬបញ្ជីឈ្មោះប្រព័ន្ធ។ ការលេចចេញនៃអ្នកផ្គត់ផ្គង់ថ្មីត្រូវតែត្រូវបានត្រួតពិនិត្យដើម្បីរកមើលសកម្មភាពព្យាបាទទាន់ពេល។ ឧទាហរណ៍ ប្រសិនបើអ្នកឃើញ WSMan លេចឡើងក្នុងចំណោមអ្នកផ្តល់សេវា នោះវគ្គ PowerShell ពីចម្ងាយត្រូវបានចាប់ផ្តើម។

Microsoft-WindowsPowerShell / កំណត់ហេតុប្រតិបត្តិការ (ឬ MicrosoftWindows-PowerShellCore / ប្រតិបត្តិការក្នុង PowerShell 6)

ការកត់ត្រាម៉ូឌុល (លេខសម្គាល់ព្រឹត្តិការណ៍ 4103) ។ ព្រឹត្តិការណ៍រក្សាទុកព័ត៌មានអំពីពាក្យបញ្ជាដែលបានប្រតិបត្តិនីមួយៗ និងប៉ារ៉ាម៉ែត្រដែលវាត្រូវបានហៅ។

ការកត់ត្រាការទប់ស្កាត់ស្គ្រីប (លេខសម្គាល់ព្រឹត្តិការណ៍ 4104) ។ ការកត់ត្រាការទប់ស្កាត់ស្គ្រីបបង្ហាញរាល់ប្លុកនៃកូដ PowerShell ដែលបានប្រតិបត្តិ។ ទោះបីជាអ្នកវាយប្រហារព្យាយាមលាក់ពាក្យបញ្ជាក៏ដោយ ប្រភេទព្រឹត្តិការណ៍នេះនឹងបង្ហាញពាក្យបញ្ជា PowerShell ដែលពិតជាត្រូវបានប្រតិបត្តិ។ ប្រភេទព្រឹត្តិការណ៍នេះក៏អាចកត់ត្រាការហៅ API កម្រិតទាបមួយចំនួនដែលកំពុងត្រូវបានបង្កើតឡើង ព្រឹត្តិការណ៍ទាំងនេះជាធម្មតាត្រូវបានកត់ត្រាជា Verbose ប៉ុន្តែប្រសិនបើពាក្យបញ្ជា ឬស្គ្រីបគួរឱ្យសង្ស័យត្រូវបានប្រើនៅក្នុងប្លុកកូដ វានឹងត្រូវបានកត់ត្រាជាកម្រិតព្រមាន។

សូមចំណាំថានៅពេលដែលឧបករណ៍ត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីប្រមូល និងវិភាគព្រឹត្តិការណ៍ទាំងនេះ ពេលវេលាបំបាត់កំហុសបន្ថែមនឹងត្រូវបានទាមទារដើម្បីកាត់បន្ថយចំនួនវិជ្ជមានមិនពិត។

ប្រាប់យើងនៅក្នុងមតិយោបល់អំពីកំណត់ហេតុដែលអ្នកប្រមូលសម្រាប់សវនកម្មសុវត្ថិភាពព័ត៌មាន និងឧបករណ៍អ្វីដែលអ្នកប្រើសម្រាប់ការនេះ។ ផ្នែកមួយនៃការផ្តោតអារម្មណ៍របស់យើងគឺដំណោះស្រាយសម្រាប់សវនកម្មព្រឹត្តិការណ៍សុវត្ថិភាពព័ត៌មាន។ ដើម្បីដោះស្រាយបញ្ហានៃការប្រមូល និងវិភាគកំណត់ហេតុ យើងអាចស្នើឱ្យពិនិត្យមើលឱ្យបានដិតដល់ Quest InTrustដែលអាចបង្ហាប់ទិន្នន័យដែលបានរក្សាទុកជាមួយនឹងសមាមាត្រនៃ 20: 1 ហើយវត្ថុដែលបានដំឡើងមួយរបស់វាមានសមត្ថភាពដំណើរការរហូតដល់ 60000 ព្រឹត្តិការណ៍ក្នុងមួយវិនាទីពីប្រភព 10000 ។

ប្រភព: www.habr.com