ສິ່ງທີ່ເປັນປະໂຫຍດອັນໃດທີ່ສາມາດສະກັດຈາກບັນທຶກຂອງບ່ອນເຮັດວຽກທີ່ໃຊ້ Windows?

ສະຖານີເຮັດວຽກຂອງຜູ້ໃຊ້ແມ່ນຈຸດທີ່ມີຄວາມສ່ຽງທີ່ສຸດຂອງໂຄງສ້າງພື້ນຖານໃນດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ. ຜູ້ໃຊ້ອາດຈະໄດ້ຮັບຈົດຫມາຍໄປຫາອີເມວບ່ອນເຮັດວຽກຂອງພວກເຂົາທີ່ເບິ່ງຄືວ່າມາຈາກແຫຼ່ງທີ່ປອດໄພ, ແຕ່ມີການເຊື່ອມຕໍ່ໄປຫາເວັບໄຊທ໌ທີ່ຕິດເຊື້ອ. ບາງທີບາງຄົນຈະດາວໂຫລດອຸປະກອນທີ່ເປັນປະໂຫຍດສໍາລັບການເຮັດວຽກຈາກສະຖານທີ່ທີ່ບໍ່ຮູ້ຈັກ. ແມ່ນແລ້ວ, ທ່ານສາມາດມາເຖິງຫຼາຍສິບກໍລະນີຂອງວິທີການ malware ສາມາດ infiltrate ຊັບພະຍາກອນພາຍໃນບໍລິສັດໂດຍຜ່ານຜູ້ໃຊ້. ດັ່ງນັ້ນ, ສະຖານີເຮັດວຽກຕ້ອງການຄວາມສົນໃຈເພີ່ມຂຶ້ນ, ແລະໃນບົດຄວາມນີ້ພວກເຮົາຈະບອກທ່ານວ່າບ່ອນໃດແລະເຫດການໃດທີ່ຈະຕິດຕາມການໂຈມຕີ.

ເພື່ອກວດຫາການໂຈມຕີໃນຂັ້ນຕອນທີ່ເປັນໄປໄດ້ໄວທີ່ສຸດ, WIndows ມີສາມແຫຼ່ງເຫດການທີ່ເປັນປະໂຫຍດ: ບັນທຶກເຫດການຄວາມປອດໄພ, ບັນທຶກການຕິດຕາມລະບົບ, ແລະບັນທຶກພະລັງງານ Shell.

ບັນທຶກເຫດການຄວາມປອດໄພ

ນີ້ແມ່ນບ່ອນເກັບມ້ຽນຫຼັກສຳລັບບັນທຶກຄວາມປອດໄພຂອງລະບົບ. ນີ້ຮວມເຖິງເຫດການຂອງການເຂົ້າສູ່ລະບົບ/ອອກຈາກລະບົບຂອງຜູ້ໃຊ້, ການເຂົ້າເຖິງວັດຖຸ, ການປ່ຽນແປງນະໂຍບາຍ, ແລະກິດຈະກໍາອື່ນໆທີ່ກ່ຽວຂ້ອງກັບຄວາມປອດໄພ. ແນ່ນອນ, ຖ້ານະໂຍບາຍທີ່ເຫມາະສົມຖືກຕັ້ງຄ່າ.

ການນັບຈຳນວນຜູ້ໃຊ້ ແລະກຸ່ມ (ເຫດການ 4798 ແລະ 4799). ໃນຕອນເລີ່ມຕົ້ນຂອງການໂຈມຕີ, malware ມັກຈະຄົ້ນຫາຜ່ານບັນຊີຜູ້ໃຊ້ທ້ອງຖິ່ນ ແລະກຸ່ມທ້ອງຖິ່ນຢູ່ໃນບ່ອນເຮັດວຽກເພື່ອຊອກຫາຂໍ້ມູນການຮັບຮູ້ສໍາລັບການຈັດການກັບເງົາຂອງມັນ. ເຫດການເຫຼົ່ານີ້ຈະຊ່ວຍກວດຫາລະຫັດທີ່ເປັນອັນຕະລາຍ ກ່ອນທີ່ມັນຈະເຄື່ອນທີ່ ແລະ, ການນໍາໃຊ້ຂໍ້ມູນທີ່ເກັບກໍາ, ແຜ່ຂະຫຍາຍໄປສູ່ລະບົບອື່ນໆ.

ການສ້າງບັນຊີທ້ອງຖິ່ນແລະການປ່ຽນແປງໃນກຸ່ມທ້ອງຖິ່ນ (ເຫດການ 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 ແລະ 5377). ການໂຈມຕີຍັງສາມາດເລີ່ມຕົ້ນ, ຕົວຢ່າງ, ໂດຍການເພີ່ມຜູ້ໃຊ້ໃຫມ່ເຂົ້າໃນກຸ່ມຜູ້ບໍລິຫານທ້ອງຖິ່ນ.

ພະຍາຍາມເຂົ້າສູ່ລະບົບດ້ວຍບັນຊີທ້ອງຖິ່ນ (ເຫດການ 4624). ຜູ້ໃຊ້ທີ່ຫນ້າເຄົາລົບເຂົ້າສູ່ລະບົບດ້ວຍບັນຊີໂດເມນ, ແລະການກໍານົດການເຂົ້າສູ່ລະບົບພາຍໃຕ້ບັນຊີທ້ອງຖິ່ນສາມາດຫມາຍເຖິງການເລີ່ມຕົ້ນຂອງການໂຈມຕີ. ເຫດການ 4624 ຍັງປະກອບມີການເຂົ້າສູ່ລະບົບພາຍໃຕ້ບັນຊີໂດເມນ, ດັ່ງນັ້ນໃນເວລາທີ່ການປຸງແຕ່ງເຫດການ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ກັ່ນຕອງເຫດການທີ່ໂດເມນແຕກຕ່າງຈາກຊື່ບ່ອນເຮັດວຽກ.

ຄວາມພະຍາຍາມທີ່ຈະເຂົ້າສູ່ລະບົບດ້ວຍບັນຊີທີ່ລະບຸ (ເຫດການ 4648). ນີ້ເກີດຂື້ນໃນເວລາທີ່ຂະບວນການເຮັດວຽກຢູ່ໃນໂຫມດ "ແລ່ນເປັນ". ນີ້ບໍ່ຄວນເກີດຂື້ນໃນລະຫວ່າງການເຮັດວຽກປົກກະຕິຂອງລະບົບ, ດັ່ງນັ້ນເຫດການດັ່ງກ່າວຕ້ອງໄດ້ຮັບການຄວບຄຸມ.

ການລັອກ/ປົດລັອກບ່ອນເຮັດວຽກ (ເຫດການ 4800-4803). ໝວດໝູ່ຂອງເຫດການທີ່ໜ້າສົງໄສລວມເຖິງການກະທຳໃດໆກໍຕາມທີ່ເກີດຂຶ້ນໃນບ່ອນເຮັດວຽກທີ່ຖືກລັອກ.

ການປ່ຽນແປງການຕັ້ງຄ່າ Firewall (ເຫດການ 4944-4958). ແນ່ນອນ, ເມື່ອຕິດຕັ້ງຊອບແວໃຫມ່, ການຕັ້ງຄ່າ firewall ອາດຈະປ່ຽນແປງ, ເຊິ່ງຈະເຮັດໃຫ້ເກີດຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ. ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ບໍ່ຈໍາເປັນຕ້ອງຄວບຄຸມການປ່ຽນແປງດັ່ງກ່າວ, ແຕ່ແນ່ນອນວ່າມັນຈະບໍ່ເຈັບປວດທີ່ຈະຮູ້ກ່ຽວກັບພວກມັນ.

ການເຊື່ອມຕໍ່ອຸປະກອນ Plug'n'play (ເຫດການ 6416 ແລະພຽງແຕ່ສໍາລັບ Windows 10). ມັນເປັນສິ່ງ ສຳ ຄັນທີ່ຈະຕິດຕາມສິ່ງນີ້ຖ້າຜູ້ໃຊ້ມັກຈະບໍ່ເຊື່ອມຕໍ່ອຸປະກອນ ໃໝ່ ກັບບ່ອນເຮັດວຽກ, ແຕ່ທັນທີທັນໃດພວກເຂົາກໍ່ເຮັດ.

Windows ປະກອບມີ 9 ປະເພດການກວດສອບ ແລະ 50 ໝວດຍ່ອຍສຳລັບການປັບແຕ່ງລະອຽດ. ຊຸດຕໍາ່ສຸດທີ່ຂອງປະເພດຍ່ອຍທີ່ຄວນຈະຖືກເປີດໃຊ້ໃນການຕັ້ງຄ່າ:

Logon / Logoff

• ເຂົ້າສູ່ລະບົບ;
• ອອກ​ຈາກ​ລະ​ບົບ;
• ບັນຊີ Lockout;
• ເຫດການ Logon/Logoff ອື່ນໆ.

ການ​ຄຸ້ມ​ຄອງ​ບັນ​ຊີ

• ການຄຸ້ມຄອງບັນຊີຜູ້ໃຊ້;
• ການຄຸ້ມຄອງກຸ່ມຄວາມປອດໄພ.

ການປ່ຽນແປງນະໂຍບາຍ

• ການປ່ຽນແປງນະໂຍບາຍການກວດສອບ;
• ການປ່ຽນແປງນະໂຍບາຍການຢັ້ງຢືນ;
• ການປ່ຽນແປງນະໂຍບາຍການອະນຸຍາດ.

ຕິດຕາມກວດກາລະບົບ (Sysmon)

Sysmon ເປັນຜົນປະໂຫຍດທີ່ສ້າງຂຶ້ນໃນ Windows ທີ່ສາມາດບັນທຶກເຫດການໃນບັນທຶກຂອງລະບົບ. ປົກກະຕິແລ້ວທ່ານຈໍາເປັນຕ້ອງຕິດຕັ້ງມັນແຍກຕ່າງຫາກ.

ເຫດການດຽວກັນເຫຼົ່ານີ້, ໃນຫຼັກການ, ສາມາດພົບເຫັນຢູ່ໃນບັນທຶກຄວາມປອດໄພ (ໂດຍການເປີດໃຊ້ນະໂຍບາຍການກວດສອບທີ່ຕ້ອງການ), ແຕ່ Sysmon ໃຫ້ລາຍລະອຽດເພີ່ມເຕີມ. ເຫດການໃດທີ່ສາມາດເອົາມາຈາກ Sysmon?

ການສ້າງຂະບວນການ (ID ເຫດການ 1). ບັນທຶກເຫດການຄວາມປອດໄພຂອງລະບົບຍັງສາມາດບອກທ່ານເມື່ອ *.exe ເລີ່ມຕົ້ນແລະແມ້ກະທັ້ງສະແດງຊື່ແລະເສັ້ນທາງການເປີດຕົວຂອງມັນ. ແຕ່ບໍ່ເຫມືອນກັບ Sysmon, ມັນຈະບໍ່ສາມາດສະແດງ app hash ໄດ້. ຊອບແວທີ່ເປັນອັນຕະລາຍອາດຈະຖືກເອີ້ນວ່າ notepad.exe ທີ່ບໍ່ເປັນອັນຕະລາຍ, ແຕ່ມັນເປັນ hash ທີ່ຈະເຮັດໃຫ້ມັນສະຫວ່າງ.

ການເຊື່ອມຕໍ່ເຄືອຂ່າຍ (ID ເຫດການ 3). ແນ່ນອນ, ມີການເຊື່ອມຕໍ່ເຄືອຂ່າຍຫຼາຍ, ແລະມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຕິດຕາມພວກມັນທັງຫມົດ. ແຕ່ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະພິຈາລະນາວ່າ Sysmon, ບໍ່ເຫມືອນກັບບັນທຶກຄວາມປອດໄພ, ສາມາດຜູກມັດການເຊື່ອມຕໍ່ເຄືອຂ່າຍກັບພາກສະຫນາມ ProcessID ແລະ ProcessGUID, ແລະສະແດງໃຫ້ເຫັນພອດແລະທີ່ຢູ່ IP ຂອງແຫຼ່ງແລະປາຍທາງ.

ການປ່ຽນແປງໃນທະບຽນລະບົບ (ID ເຫດການ 12-14). ວິທີທີ່ງ່າຍທີ່ສຸດທີ່ຈະເພີ່ມຕົວທ່ານເອງເຂົ້າໃນ autorun ແມ່ນການລົງທະບຽນໃນທະບຽນ. ບັນທຶກຄວາມປອດໄພສາມາດເຮັດໄດ້, ແຕ່ Sysmon ສະແດງໃຫ້ເຫັນວ່າຜູ້ທີ່ເຮັດການປ່ຽນແປງ, ເມື່ອ, ຈາກບ່ອນໃດ, ຂະບວນການ ID ແລະມູນຄ່າທີ່ສໍາຄັນທີ່ຜ່ານມາ.

ການສ້າງໄຟລ໌ (ID ເຫດການ 11). Sysmon, ບໍ່ເຫມືອນກັບບັນທຶກຄວາມປອດໄພ, ຈະສະແດງໃຫ້ເຫັນບໍ່ພຽງແຕ່ສະຖານທີ່ຂອງໄຟລ໌, ແຕ່ຍັງຊື່ຂອງມັນ. ມັນເປັນທີ່ຊັດເຈນວ່າທ່ານບໍ່ສາມາດຕິດຕາມທຸກສິ່ງທຸກຢ່າງ, ແຕ່ທ່ານສາມາດກວດສອບໄດເລກະທໍລີທີ່ແນ່ນອນ.

ແລະໃນປັດຈຸບັນສິ່ງທີ່ບໍ່ໄດ້ຢູ່ໃນນະໂຍບາຍບັນທຶກຄວາມປອດໄພ, ແຕ່ຢູ່ໃນ Sysmon:

ການປ່ຽນແປງເວລາສ້າງໄຟລ໌ (ID ເຫດການ 2). ມັລແວບາງອັນສາມາດຫຼອກລວງວັນທີສ້າງໄຟລ໌ເພື່ອເຊື່ອງມັນຈາກລາຍງານຂອງໄຟລ໌ທີ່ສ້າງຂຶ້ນເມື່ອບໍ່ດົນມານີ້.

ກຳລັງໂຫຼດໄດເວີ ແລະຫ້ອງສະໝຸດແບບເຄື່ອນໄຫວ (IDs ເຫດການ 6-7). ການຕິດຕາມການໂຫຼດ DLLs ແລະໄດເວີອຸປະກອນເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາ, ກວດເບິ່ງລາຍເຊັນດິຈິຕອນແລະຄວາມຖືກຕ້ອງຂອງມັນ.

ສ້າງກະທູ້ໃນຂະບວນການເຮັດວຽກ (ID ເຫດການ 8). ປະເພດຂອງການໂຈມຕີທີ່ຍັງຕ້ອງໄດ້ຮັບການຕິດຕາມ.

ເຫດການ RawAccessRead (ID ເຫດການ 9). ການດໍາເນີນການອ່ານແຜ່ນໂດຍໃຊ້ "." ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ກິດຈະກໍາດັ່ງກ່າວຄວນໄດ້ຮັບການພິຈາລະນາຜິດປົກກະຕິ.

ສ້າງການຖ່າຍທອດໄຟລ໌ທີ່ມີຊື່ (ID ເຫດການ 15). ເຫດການຖືກບັນທຶກເມື່ອການຖ່າຍທອດໄຟລ໌ທີ່ມີຊື່ຖືກສ້າງຂື້ນທີ່ປ່ອຍເຫດການທີ່ມີ hash ຂອງເນື້ອຫາຂອງໄຟລ໌.

ການສ້າງທໍ່ທີ່ມີຊື່ແລະການເຊື່ອມຕໍ່ (ID ເຫດການ 17-18). ການຕິດຕາມລະຫັດອັນຕະລາຍທີ່ຕິດຕໍ່ສື່ສານກັບອົງປະກອບອື່ນໆໂດຍຜ່ານທໍ່ທີ່ມີຊື່.

ການເຄື່ອນໄຫວ WMI (ID ເຫດການ 19). ການລົງທະບຽນເຫດການທີ່ສ້າງຂຶ້ນເມື່ອເຂົ້າເຖິງລະບົບຜ່ານໂປໂຕຄອນ WMI.

ເພື່ອປົກປ້ອງ Sysmon ຕົວມັນເອງ, ທ່ານຈໍາເປັນຕ້ອງຕິດຕາມເຫດການທີ່ມີ ID 4 (Sysmon ຢຸດແລະເລີ່ມຕົ້ນ) ແລະ ID 16 (ການປ່ຽນແປງການຕັ້ງຄ່າ Sysmon).

ບັນທຶກພະລັງງານ Shell

Power Shell ເປັນເຄື່ອງມືທີ່ມີປະສິດທິພາບໃນການຄຸ້ມຄອງໂຄງສ້າງພື້ນຖານຂອງ Windows, ດັ່ງນັ້ນໂອກາດທີ່ຜູ້ໂຈມຕີຈະເລືອກມັນ. ມີ​ສອງ​ແຫຼ່ງ​ທີ່​ທ່ານ​ສາ​ມາດ​ນໍາ​ໃຊ້​ເພື່ອ​ໄດ້​ຮັບ​ຂໍ້​ມູນ​ເຫດ​ການ Power Shell​: Windows PowerShell log ແລະ Microsoft-WindowsPowerShell / ບັນ​ທຶກ​ການ​ປະ​ຕິ​ບັດ​ການ​.

ບັນທຶກ Windows PowerShell

ຜູ້ໃຫ້ບໍລິການຂໍ້ມູນຖືກໂຫລດ (ID ເຫດການ 600). ຜູ້ໃຫ້ບໍລິການ PowerShell ແມ່ນໂຄງການທີ່ສະໜອງແຫຼ່ງຂໍ້ມູນໃຫ້ PowerShell ເພື່ອເບິ່ງ ແລະຈັດການ. ຕົວຢ່າງ, ຜູ້ໃຫ້ບໍລິການທີ່ສ້າງຂຶ້ນໃນຕົວອາດຈະເປັນຕົວແປສະພາບແວດລ້ອມ Windows ຫຼືການລົງທະບຽນລະບົບ. ການປະກົດຕົວຂອງຜູ້ສະຫນອງໃຫມ່ຕ້ອງໄດ້ຮັບການຕິດຕາມເພື່ອກວດພົບກິດຈະກໍາທີ່ເປັນອັນຕະລາຍໃນເວລາ. ຕົວຢ່າງ, ຖ້າທ່ານເຫັນ WSMan ປາກົດຢູ່ໃນບັນດາຜູ້ໃຫ້ບໍລິການ, ຫຼັງຈາກນັ້ນກອງປະຊຸມ PowerShell ຫ່າງໄກສອກຫຼີກໄດ້ຖືກເລີ່ມຕົ້ນແລ້ວ.

Microsoft-WindowsPowerShell / ບັນທຶກການເຮັດວຽກ (ຫຼື MicrosoftWindows-PowerShellCore / ການດໍາເນີນງານໃນ PowerShell 6)

ການບັນທຶກໂມດູນ (ID ເຫດການ 4103). ເຫດການເກັບຮັກສາຂໍ້ມູນກ່ຽວກັບແຕ່ລະຄໍາສັ່ງທີ່ຖືກປະຕິບັດແລະພາລາມິເຕີທີ່ມັນຖືກເອີ້ນວ່າ.

script blocking ບັນທຶກ (ID ເຫດການ 4104). ການບັນທຶກການບລັອກສະຄຣິບສະແດງທຸກບລັອກຂອງລະຫັດ PowerShell ທີ່ຖືກປະຕິບັດ. ເຖິງແມ່ນວ່າຜູ້ໂຈມຕີພະຍາຍາມເຊື່ອງຄໍາສັ່ງ, ປະເພດຂອງເຫດການນີ້ຈະສະແດງຄໍາສັ່ງ PowerShell ທີ່ຖືກປະຕິບັດຕົວຈິງ. ປະເພດເຫດການນີ້ຍັງສາມາດບັນທຶກການໂທ API ລະດັບຕ່ໍາບາງຢ່າງທີ່ກໍາລັງເຮັດ, ເຫດການເຫຼົ່ານີ້ມັກຈະຖືກບັນທຶກເປັນ Verbose, ແຕ່ຖ້າຄໍາສັ່ງທີ່ຫນ້າສົງໄສຫຼື script ຖືກນໍາໃຊ້ໃນບລັອກຂອງລະຫັດ, ມັນຈະຖືກບັນທຶກເປັນຄວາມຮຸນແຮງຂອງຄໍາເຕືອນ.

ກະລຸນາຮັບຊາບວ່າເມື່ອເຄື່ອງມືຖືກຕັ້ງຄ່າເພື່ອເກັບກຳ ແລະວິເຄາະເຫດການເຫຼົ່ານີ້, ຈະຕ້ອງໃຊ້ເວລາໃນການແກ້ບັນຫາເພີ່ມເຕີມເພື່ອຫຼຸດຈຳນວນຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ.

ບອກພວກເຮົາໃນຄໍາເຫັນວ່າທ່ານເກັບບັນທຶກຂໍ້ມູນໃດແດ່ສໍາລັບການກວດສອບຄວາມປອດໄພຂອງຂໍ້ມູນແລະເຄື່ອງມືທີ່ທ່ານໃຊ້ສໍາລັບການນີ້. ຫນຶ່ງໃນຈຸດສຸມຂອງພວກເຮົາແມ່ນການແກ້ໄຂສໍາລັບການກວດສອບເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນ. ເພື່ອແກ້ໄຂບັນຫາຂອງການເກັບກໍາແລະການວິເຄາະໄມ້ທ່ອນ, ພວກເຮົາສາມາດແນະນໍາການພິຈາລະນາຢ່າງໃກ້ຊິດ Quest InTrust, ເຊິ່ງສາມາດບີບອັດຂໍ້ມູນທີ່ເກັບໄວ້ດ້ວຍອັດຕາສ່ວນ 20: 1, ແລະຫນຶ່ງຕົວຢ່າງທີ່ຕິດຕັ້ງຂອງມັນແມ່ນສາມາດປະມວນຜົນໄດ້ເຖິງ 60000 ເຫດການຕໍ່ວິນາທີຈາກ 10000 ແຫຼ່ງ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com