Windows 기반 워크스테이션의 로그에서 어떤 유용한 정보를 추출할 수 있나요?

사용자 워크스테이션은 정보 보안 측면에서 인프라 중 가장 취약한 지점입니다. 사용자는 안전한 출처에서 보낸 것처럼 보이지만 감염된 사이트에 대한 링크가 포함된 편지를 업무용 이메일로 받을 수 있습니다. 아마도 누군가가 알려지지 않은 위치에서 업무에 유용한 유틸리티를 다운로드할 것입니다. 예, 악성코드가 사용자를 통해 기업 내부 리소스에 어떻게 침투할 수 있는지에 대한 수십 가지 사례를 생각해 볼 수 있습니다. 따라서 워크스테이션에는 더 많은 주의가 필요하며, 이 기사에서는 공격을 모니터링하기 위해 수행해야 할 이벤트와 위치를 알려 드리겠습니다.

가능한 초기 단계에서 공격을 탐지하기 위해 WIndows에는 보안 이벤트 로그, 시스템 모니터링 로그 및 Power Shell 로그라는 세 가지 유용한 이벤트 소스가 있습니다.

보안 이벤트 로그

이는 시스템 보안 로그의 기본 저장 위치입니다. 여기에는 사용자 로그인/로그아웃, 개체에 대한 액세스, 정책 변경 및 기타 보안 관련 활동이 포함됩니다. 물론, 적절한 정책이 구성되어 있는 경우입니다.

사용자 및 그룹 열거(이벤트 4798 및 4799) 공격이 시작될 때 맬웨어는 종종 워크스테이션의 로컬 사용자 계정과 로컬 그룹을 검색하여 수상한 거래에 대한 자격 증명을 찾습니다. 이러한 이벤트는 악성 코드가 이동하여 수집된 데이터를 사용하여 다른 시스템으로 확산되기 전에 이를 탐지하는 데 도움이 됩니다.

로컬 계정 생성 및 로컬 그룹 변경(이벤트 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 및 5377). 예를 들어, 로컬 관리자 그룹에 새 사용자를 추가하여 공격을 시작할 수도 있습니다.

로컬 계정으로 로그인을 시도합니다(이벤트 4624). 존경받는 사용자는 도메인 계정으로 로그인하고 로컬 계정에서 로그인을 식별하면 공격이 시작될 수 있습니다. 이벤트 4624에는 도메인 계정의 로그인도 포함되므로 이벤트를 처리할 때 도메인이 워크스테이션 이름과 다른 이벤트를 필터링해야 합니다.

지정된 계정으로 로그인을 시도했습니다(이벤트 4648). 이는 프로세스가 "다음 계정으로 실행" 모드에서 실행 중일 때 발생합니다. 이는 시스템이 정상적으로 작동하는 동안에는 발생하지 않으므로 이러한 이벤트를 제어해야 합니다.

워크스테이션 잠금/잠금 해제(이벤트 4800-4803) 의심스러운 이벤트 범주에는 잠긴 워크스테이션에서 발생한 모든 작업이 포함됩니다.

방화벽 구성 변경(이벤트 4944-4958) 분명히 새 소프트웨어를 설치할 때 방화벽 구성 설정이 변경되어 오탐지가 발생할 수 있습니다. 대부분의 경우 이러한 변경 사항을 제어할 필요는 없지만 이에 대해 알아도 나쁠 것은 없습니다.

플러그 앤 플레이 장치 연결(이벤트 6416 및 WIndows 10에만 해당) 사용자가 일반적으로 새 장치를 워크스테이션에 연결하지 않다가 갑자기 연결하게 되는 경우 이를 주의 깊게 관찰하는 것이 중요합니다.

Windows에는 미세 조정을 위한 9개의 감사 범주와 50개의 하위 범주가 포함되어 있습니다. 설정에서 활성화해야 하는 최소 하위 카테고리 세트:

로그온 / 로그 오프

• 로그온;
• 로그 오프;
• 계정 잠금;
• 기타 로그온/로그오프 이벤트.

회계관리

• 사용자 계정 관리;
• 보안 그룹 관리.

정책 변경

• 감사 정책 변경;
• 인증 정책 변경;
• 승인 정책 변경.

시스템 모니터(Sysmon)

Sysmon은 시스템 로그에 이벤트를 기록할 수 있는 Windows에 내장된 유틸리티입니다. 일반적으로 별도로 설치해야 합니다.

원칙적으로 이러한 동일한 이벤트는 보안 로그에서 찾을 수 있지만(원하는 감사 정책을 활성화하여) Sysmon에서 더 자세한 정보를 제공합니다. Sysmon에서 어떤 이벤트를 가져올 수 있나요?

프로세스 생성(이벤트 ID 1). 시스템 보안 이벤트 로그는 *.exe가 시작된 시기를 알려주고 이름과 시작 경로도 표시할 수 있습니다. 그러나 Sysmon과 달리 애플리케이션 해시를 표시할 수 없습니다. 악성 소프트웨어는 무해한 notepad.exe라고 할 수도 있지만 이를 밝혀내는 것은 해시입니다.

네트워크 연결(이벤트 ID 3). 분명히 네트워크 연결이 너무 많아서 모두 추적하는 것은 불가능합니다. 그러나 보안 로그와 달리 Sysmon은 네트워크 연결을 ProcessID 및 ProcessGUID 필드에 바인딩하고 소스와 대상의 포트와 IP 주소를 표시할 수 있다는 점을 고려하는 것이 중요합니다.

시스템 레지스트리 변경 사항(이벤트 ID 12-14) 자동 실행에 자신을 추가하는 가장 쉬운 방법은 레지스트리에 등록하는 것입니다. 보안 로그는 이를 수행할 수 있지만 Sysmon은 누가, 언제, 어디서 변경했는지, 프로세스 ID 및 이전 키 값을 보여줍니다.

파일 생성(이벤트 ID 11). Sysmon은 보안 로그와 달리 파일 위치뿐만 아니라 이름도 표시합니다. 모든 것을 추적할 수는 없지만 특정 디렉토리를 감사할 수 있다는 것은 분명합니다.

이제 보안 로그 정책에는 없지만 Sysmon에는 있는 내용이 있습니다.

파일 생성 시간 변경(이벤트 ID 2) 일부 맬웨어는 파일 생성 날짜를 스푸핑하여 최근 생성된 파일에 대한 보고서에서 해당 파일을 숨길 수 있습니다.

드라이버 및 동적 라이브러리 로드(이벤트 ID 6-7). DLL 및 장치 드라이버가 메모리에 로드되는 것을 모니터링하고 디지털 서명과 유효성을 확인합니다.

실행 중인 프로세스(이벤트 ID 8)에서 스레드를 만듭니다. 모니터링해야 하는 공격 유형 중 하나입니다.

RawAccessRead 이벤트(이벤트 ID 9). "."를 사용한 디스크 읽기 작업. 대부분의 경우 이러한 활동은 비정상적인 것으로 간주되어야 합니다.

명명된 파일 스트림(이벤트 ID 15)을 만듭니다. 파일 내용의 해시가 포함된 이벤트를 내보내는 명명된 파일 스트림이 생성되면 이벤트가 기록됩니다.

명명된 파이프 및 연결 만들기(이벤트 ID 17-18) 네임드 파이프를 통해 다른 구성 요소와 통신하는 악성 코드를 추적합니다.

WMI 활동(이벤트 ID 19). WMI 프로토콜을 통해 시스템에 액세스할 때 생성되는 이벤트를 등록합니다.

Sysmon 자체를 보호하려면 ID 4(Sysmon 중지 및 시작) 및 ID 16(Sysmon 구성 변경)으로 이벤트를 모니터링해야 합니다.

Power Shell 로그

Power Shell은 Windows 인프라 관리를 위한 강력한 도구이므로 공격자가 이를 선택할 가능성이 높습니다. Power Shell 이벤트 데이터를 얻는 데 사용할 수 있는 두 가지 소스는 Windows PowerShell 로그와 Microsoft-WindowsPowerShell/Operational 로그입니다.

Windows PowerShell 로그

데이터 공급자가 로드되었습니다(이벤트 ID 600). PowerShell 공급자는 PowerShell에서 보고 관리할 수 있는 데이터 소스를 제공하는 프로그램입니다. 예를 들어 기본 제공 공급자는 Windows 환경 변수 또는 시스템 레지스트리일 수 있습니다. 악의적인 활동을 적시에 감지하려면 새로운 공급업체의 출현을 모니터링해야 합니다. 예를 들어 공급자 사이에 WSMan이 표시되면 원격 PowerShell 세션이 시작된 것입니다.

Microsoft-WindowsPowerShell/Operational 로그(또는 PowerShell 6의 MicrosoftWindows-PowerShellCore/Operational)

모듈 로깅(이벤트 ID 4103). 이벤트는 실행된 각 명령과 해당 명령이 호출된 매개변수에 대한 정보를 저장합니다.

스크립트 차단 로깅(이벤트 ID 4104). 스크립트 차단 로깅은 실행된 PowerShell 코드의 모든 블록을 보여줍니다. 공격자가 명령을 숨기려고 시도하더라도 이 이벤트 유형은 실제로 실행된 PowerShell 명령을 표시합니다. 이 이벤트 유형은 수행 중인 일부 하위 수준 API 호출을 기록할 수도 있습니다. 이러한 이벤트는 일반적으로 Verbose로 기록되지만 의심스러운 명령이나 스크립트가 코드 블록에 사용되는 경우 경고 심각도로 기록됩니다.

이러한 이벤트를 수집하고 분석하도록 도구를 구성한 후에는 오탐지 수를 줄이기 위해 추가 디버깅 시간이 필요합니다.

정보 보안 감사를 위해 수집하는 로그와 이에 사용하는 도구를 댓글로 알려주세요. 우리가 중점을 두고 있는 분야 중 하나는 정보 보안 이벤트 감사 솔루션입니다. 로그 수집 및 분석 문제를 해결하려면 다음을 자세히 살펴보는 것이 좋습니다. 퀘스트 인트러스트는 저장된 데이터를 20:1의 비율로 압축할 수 있으며, 설치된 인스턴스 60000개는 10000개의 소스에서 초당 최대 XNUMX개의 이벤트를 처리할 수 있습니다.

출처 : habr.com