Sysmon은 이제 클립보드 내용을 쓸 수 있습니다.

Sysmon 버전 12의 출시는 17월 XNUMX일에 발표되었습니다. 시스인터널스 페이지. 실제로 이날 Process Monitor와 ProcDump의 새 버전도 출시되었습니다. 이 기사에서는 클립보드 작업이 기록되는 이벤트 ID 12가 포함된 이벤트 유형인 Sysmon 버전 24의 주요 혁신과 논란의 여지가 있는 혁신에 대해 설명합니다.

이러한 유형의 이벤트에서 얻은 정보는 의심스러운 활동(및 새로운 취약점)을 모니터링할 수 있는 새로운 기회를 열어줍니다. 따라서 그들이 정확히 누구, 어디서, 무엇을 복사하려고 했는지 이해할 수 있습니다. 컷 아래에는 새로운 이벤트의 일부 필드와 몇 가지 사용 사례에 대한 설명이 있습니다.

새 이벤트에는 다음 필드가 포함됩니다.

이미지 : 데이터가 클립보드에 기록되는 프로세스입니다.
세션: 클립보드가 작성된 세션입니다. 시스템일 수 있습니다(0)
온라인이나 원격으로 작업할 때 등
클라이언트정보: 세션 사용자 이름과 원격 세션의 경우 원래 호스트 이름 및 IP 주소(사용 가능한 경우)가 포함됩니다.
해시: 복사된 텍스트가 저장된 파일의 이름을 결정합니다(FileDelete 유형의 이벤트 작업과 유사).
보관 : 상태, 클립보드의 텍스트가 Sysmon 아카이브 디렉터리에 저장되었는지 여부.

마지막 몇 개의 필드는 놀랍습니다. 사실은 버전 11부터 Sysmon이 (적절한 설정을 통해) 다양한 데이터를 아카이브 디렉터리에 저장할 수 있다는 것입니다. 예를 들어 이벤트 ID 23은 파일 삭제 이벤트를 기록하고 이를 모두 동일한 아카이브 디렉터리에 저장할 수 있습니다. 클립보드 작업 결과 생성된 파일 이름에는 CLIP 태그가 추가됩니다. 파일 자체에는 클립보드에 복사된 정확한 데이터가 포함되어 있습니다.

저장된 파일의 모습은 이렇습니다

설치 중에 파일 저장이 활성화됩니다. 텍스트가 저장되지 않는 프로세스의 화이트리스트를 설정할 수 있습니다.

적절한 아카이브 디렉터리 설정을 사용한 Sysmon 설치 모습은 다음과 같습니다.

여기서는 클립보드도 사용하는 비밀번호 관리자를 기억해 둘 가치가 있다고 생각합니다. 비밀번호 관리자가 있는 시스템에 Sysmon을 설치하면 귀하(또는 공격자)가 해당 비밀번호를 캡처할 수 있습니다. 복사된 텍스트를 할당하는 프로세스를 알고 있다고 가정하면(항상 비밀번호 관리자 프로세스는 아니지만 일부 svchost일 수도 있음) 이 예외는 화이트리스트에 추가되고 저장되지 않을 수 있습니다.

모르실 수도 있지만 RDP 세션 모드에서 원격 서버로 전환하면 클립보드의 텍스트가 원격 서버에 의해 캡처됩니다. 클립보드에 무언가가 있고 RDP 세션 간에 전환하면 해당 정보가 함께 이동됩니다.

클립보드 작업을 위한 Sysmon의 기능을 요약해 보겠습니다.

결정된:

• RDP 및 로컬을 통해 붙여넣은 텍스트의 텍스트 복사본입니다.
• 다양한 유틸리티/프로세스를 통해 클립보드에서 데이터를 캡처합니다.
• 이 텍스트를 아직 붙여넣지 않은 경우에도 로컬 가상 머신에서 텍스트를 복사/붙여넣기하세요.

기록되지 않음:

• 로컬 가상 머신에서/로 파일 복사/붙여넣기
• RDP를 통해 파일 복사/붙여넣기
• 클립보드를 하이재킹하는 악성코드는 클립보드 자체에만 기록합니다.

모호함에도 불구하고 이러한 유형의 이벤트를 사용하면 공격자의 작업 알고리즘을 복원하고 공격 후 사후 분석 형성을 위해 이전에 액세스할 수 없었던 데이터를 식별하는 데 도움이 됩니다. 클립보드에 콘텐츠 쓰기가 여전히 활성화된 경우 아카이브 디렉터리에 대한 모든 액세스를 기록하고 잠재적으로 위험한 항목(sysmon.exe에 의해 시작되지 않음)을 식별하는 것이 중요합니다.

위에 나열된 이벤트를 기록, 분석 및 대응하려면 도구를 사용할 수 있습니다. 맡기다는 세 가지 접근 방식을 모두 결합하고 수집된 모든 원시 데이터의 효과적인 중앙 집중식 저장소입니다. 원시 데이터의 처리 및 저장을 InTrust로 이전하여 라이센스 비용을 최소화하도록 널리 사용되는 SIEM 시스템과의 통합을 구성할 수 있습니다.

InTrust에 대해 자세히 알아보려면 이전 기사를 읽어보시거나 피드백 양식에 요청을 남겨주세요.

SIEM 시스템의 소유 비용을 줄이는 방법과 중앙 로그 관리(CLM)가 필요한 이유

Windows에서 의심스러운 프로세스 실행에 대한 이벤트 수집을 활성화하고 Quest InTrust를 사용하여 위협을 식별합니다.

InTrust가 RDP를 통한 인증 시도 실패율을 줄이는 데 어떻게 도움이 됩니까?

우리는 랜섬웨어 공격을 감지하고 도메인 컨트롤러에 대한 액세스 권한을 얻은 후 이러한 공격에 저항하려고 노력합니다.

Windows 기반 워크스테이션의 로그에서 어떤 유용한 정보를 추출할 수 있나요? (인기 기사)

누가 그랬나요? 정보 보안 감사를 자동화합니다.

출처 : habr.com