ຄູ່ມືການວິເຄາະໄພຂົ່ມຂູ່ Sysmon, ພາກທີ 1

ບົດຄວາມນີ້ແມ່ນສ່ວນທໍາອິດຂອງຊຸດກ່ຽວກັບການວິເຄາະໄພຂົ່ມຂູ່ Sysmon. ພາກສ່ວນອື່ນໆທັງໝົດຂອງຊຸດ:

ສ່ວນທີ 1: ການແນະນໍາການວິເຄາະບັນທຶກ Sysmon (ພວກ​ເຮົາ​ຢູ່​ທີ່​ນີ້)
ສ່ວນທີ 2: ການນໍາໃຊ້ຂໍ້ມູນເຫດການ Sysmon ເພື່ອກໍານົດໄພຂົ່ມຂູ່
ສ່ວນທີ 3. ການວິເຄາະຄວາມເລິກຂອງໄພຂົ່ມຂູ່ Sysmon ໂດຍໃຊ້ກາຟ

ຖ້າທ່ານເຮັດວຽກດ້ານຄວາມປອດໄພຂໍ້ມູນ, ທ່ານອາດຈະຕ້ອງເຂົ້າໃຈການໂຈມຕີຢ່າງຕໍ່ເນື່ອງ. ຖ້າທ່ານມີຕາທີ່ໄດ້ຮັບການຝຶກອົບຮົມແລ້ວ, ທ່ານສາມາດຊອກຫາກິດຈະກໍາທີ່ບໍ່ແມ່ນມາດຕະຖານຢູ່ໃນບັນທຶກທີ່ຍັງບໍ່ໄດ້ປຸງແຕ່ງ "ດິບ" - ເວົ້າ, script PowerShell ແລ່ນ. ດ້ວຍຄໍາສັ່ງ DownloadString ຫຼືສະຄິບ VBS ປອມເປັນໄຟລ໌ Word - ພຽງແຕ່ເລື່ອນຜ່ານກິດຈະກໍາຫຼ້າສຸດໃນບັນທຶກເຫດການ Windows. ແຕ່ນີ້ແມ່ນການເຈັບຫົວໃຫຍ່ແທ້ໆ. ໂຊກດີ, Microsoft ສ້າງ Sysmon, ເຊິ່ງເຮັດໃຫ້ການວິເຄາະການໂຈມຕີງ່າຍຂຶ້ນຫຼາຍ.

ຕ້ອງການເຂົ້າໃຈແນວຄວາມຄິດພື້ນຖານທີ່ຢູ່ເບື້ອງຫລັງການຂົ່ມຂູ່ທີ່ສະແດງຢູ່ໃນບັນທຶກ Sysmon? ດາວໂຫລດຄູ່ມືຂອງພວກເຮົາ ເຫດການ WMI ເປັນວິທີການສອດແນມ ແລະເຈົ້າຮູ້ວິທີທີ່ຄົນພາຍໃນສາມາດສັງເກດເຫັນພະນັກງານຄົນອື່ນໆໄດ້ຢ່າງລອດຕາຍ. ບັນຫາຕົ້ນຕໍໃນການເຮັດວຽກກັບບັນທຶກເຫດການ Windows ແມ່ນການຂາດຂໍ້ມູນກ່ຽວກັບຂະບວນການຂອງພໍ່ແມ່, i.e. ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະເຂົ້າໃຈລໍາດັບຊັ້ນຂອງຂະບວນການຈາກມັນ. ໃນທາງກົງກັນຂ້າມ, ລາຍການບັນທຶກ Sysmon, ມີ ID ຂະບວນການແມ່, ຊື່ຂອງມັນ, ແລະເສັ້ນຄໍາສັ່ງທີ່ຈະເປີດຕົວ. ຂອບໃຈ, Microsoft.

ໃນສ່ວນທໍາອິດຂອງຊຸດຂອງພວກເຮົາ, ພວກເຮົາຈະເບິ່ງສິ່ງທີ່ເຈົ້າສາມາດເຮັດໄດ້ດ້ວຍຂໍ້ມູນພື້ນຖານຈາກ Sysmon. ໃນພາກທີ XNUMX, ພວກເຮົາຈະໃຊ້ປະໂຫຍດອັນເຕັມທີ່ຂອງຂໍ້ມູນຂະບວນການຂອງພໍ່ແມ່ເພື່ອສ້າງໂຄງສ້າງການປະຕິບັດຕາມທີ່ຊັບຊ້ອນທີ່ຮູ້ຈັກເປັນກາຟໄພຂົ່ມຂູ່. ໃນສ່ວນທີສາມ, ພວກເຮົາຈະເບິ່ງວິທີງ່າຍໆທີ່ສະແກນເສັ້ນສະແດງການຂົ່ມຂູ່ເພື່ອຄົ້ນຫາກິດຈະກໍາທີ່ຜິດປົກກະຕິໂດຍການວິເຄາະ "ນ້ໍາຫນັກ" ຂອງກາຟ. ແລະໃນທີ່ສຸດ, ທ່ານຈະໄດ້ຮັບລາງວັນດ້ວຍວິທີການກວດຈັບໄພຂົ່ມຂູ່ທີ່ອາດເປັນທີ່ຊັດເຈນ (ແລະເຂົ້າໃຈໄດ້).

ສ່ວນທີ 1: ການແນະນໍາການວິເຄາະບັນທຶກ Sysmon

ສິ່ງທີ່ສາມາດຊ່ວຍທ່ານເຂົ້າໃຈຄວາມສັບສົນຂອງບັນທຶກເຫດການ? ໃນທີ່ສຸດ - SIEM. ມັນ normalizes ເຫດການແລະ simplifies ການວິເຄາະຕໍ່ໄປຂອງເຂົາເຈົ້າ. ແຕ່ພວກເຮົາບໍ່ຈໍາເປັນຕ້ອງໄປໄກ, ຢ່າງຫນ້ອຍບໍ່ແມ່ນໃນຕອນທໍາອິດ. ໃນຕອນເລີ່ມຕົ້ນ, ເພື່ອເຂົ້າໃຈຫຼັກການຂອງ SIEM, ມັນຈະພຽງພໍທີ່ຈະລອງໃຊ້ປະໂຫຍດ Sysmon ຟຣີທີ່ປະເສີດ. ແລະນາງເປັນເລື່ອງແປກທີ່ງ່າຍທີ່ຈະເຮັດວຽກກັບ. ຮັກສາມັນໄວ້, Microsoft!

Sysmon ມີຄຸນສົມບັດແນວໃດ?

ໃນສັ້ນ - ຂໍ້ມູນທີ່ເປັນປະໂຫຍດແລະສາມາດອ່ານໄດ້ກ່ຽວກັບຂະບວນການ (ເບິ່ງຮູບຂ້າງລຸ່ມນີ້). ເຈົ້າຈະພົບເຫັນຫຼາຍລາຍລະອຽດທີ່ເປັນປະໂຫຍດທີ່ບໍ່ໄດ້ຢູ່ໃນບັນທຶກເຫດການ Windows, ແຕ່ສໍາຄັນທີ່ສຸດແມ່ນຊ່ອງຂໍ້ມູນຕໍ່ໄປນີ້:

• ID ຂະບວນການ (ເປັນເລກທົດສະນິຍົມ, ບໍ່ແມ່ນ hex!)
• ID ຂະບວນການຂອງພໍ່ແມ່
• ເສັ້ນຄໍາສັ່ງຂະບວນການ
• ເສັ້ນຄໍາສັ່ງຂອງຂະບວນການພໍ່ແມ່
• ໄຟລ໌ hash ຮູບພາບ
• ຊື່​ໄຟລ​໌​ຮູບ​ພາບ​

Sysmon ຖືກຕິດຕັ້ງທັງເປັນໄດເວີອຸປະກອນແລະເປັນບໍລິການ - ລາຍລະອຽດເພີ່ມເຕີມ ທີ່ນີ້. ປະໂຫຍດທີ່ສໍາຄັນຂອງມັນແມ່ນຄວາມສາມາດໃນການວິເຄາະບັນທຶກຈາກ ຫຼາຍ ແຫຼ່ງຂໍ້ມູນ, ຄວາມກ່ຽວຂ້ອງຂອງຂໍ້ມູນແລະຜົນຜະລິດຂອງມູນຄ່າຜົນໄດ້ຮັບໄປຫາໂຟເດີບັນທຶກເຫດການຫນຶ່ງທີ່ຕັ້ງຢູ່ຕາມເສັ້ນທາງ Microsoft -> Windows -> Sysmon -> ປະຕິບັດການ. ໃນການສືບສວນການລ້ຽງຜົມຂອງຂ້ອຍເອງໃນບັນທຶກຂອງ Windows, ຂ້ອຍພົບວ່າຕົນເອງຕ້ອງປ່ຽນລະຫວ່າງ, ເວົ້າ, ໂຟນເດີບັນທຶກ PowerShell ແລະໂຟນເດີຄວາມປອດໄພ, ພິກຜ່ານບັນທຶກເຫດການໃນຄວາມພະຍາຍາມຢ່າງກ້າຫານທີ່ຈະເຊື່ອມໂຍງມູນຄ່າລະຫວ່າງສອງຢ່າງ. . ອັນນີ້ບໍ່ເຄີຍເປັນວຽກທີ່ງ່າຍເລີຍ, ແລະເມື່ອຂ້ອຍຮູ້ຕໍ່ມາ, ມັນດີກວ່າທີ່ຈະຊື້ຢາແອດສະໄພລິນທັນທີ.

Sysmon ກ້າວກະໂດດຂັ້ນ quantum ໄປໂດຍໃຫ້ຂໍ້ມູນທີ່ເປັນປະໂຫຍດ (ຫຼືທີ່ຜູ້ຂາຍມັກເວົ້າ, ສາມາດປະຕິບັດໄດ້) ເພື່ອຊ່ວຍໃຫ້ເຂົ້າໃຈຂະບວນການທີ່ຕິດພັນ. ຕົວຢ່າງ, ຂ້າພະເຈົ້າໄດ້ເລີ່ມຕົ້ນກອງປະຊຸມລັບ wmiexec, simulating ການເຄື່ອນໄຫວຂອງ smart insider ພາຍໃນເຄືອຂ່າຍ. ນີ້ແມ່ນສິ່ງທີ່ທ່ານຈະເຫັນຢູ່ໃນບັນທຶກເຫດການ Windows:

ບັນທຶກຂອງ Windows ສະແດງຂໍ້ມູນບາງຢ່າງກ່ຽວກັບຂະບວນການ, ແຕ່ມັນໃຊ້ຫນ້ອຍ. ບວກ ID ຂະບວນການໃນເລກຖານສິບຫົກ???

ສໍາລັບຜູ້ຊ່ຽວຊານດ້ານໄອທີທີ່ມີຄວາມເຂົ້າໃຈກ່ຽວກັບພື້ນຖານຂອງການ hack, ເສັ້ນຄໍາສັ່ງຄວນຈະສົງໃສ. ການນໍາໃຊ້ cmd.exe ຫຼັງຈາກນັ້ນດໍາເນີນການຄໍາສັ່ງອື່ນແລະ redirect ຜົນຜະລິດກັບໄຟລ໌ທີ່ມີຊື່ແປກແມ່ນຈະແຈ້ງຄ້າຍຄືກັນກັບການກະທໍາຂອງຊອບແວຕິດຕາມກວດກາແລະການຄວບຄຸມ. ຄໍາສັ່ງແລະການຄວບຄຸມ (C2): ດ້ວຍວິທີນີ້, ແກະ pseudo-shell ຖືກສ້າງຂື້ນໂດຍໃຊ້ບໍລິການ WMI.
ຕອນນີ້ໃຫ້ເຮົາມາເບິ່ງການເຂົ້າທຽບເທົ່າ Sysmon, ໂດຍສັງເກດວ່າມັນໃຫ້ຂໍ້ມູນເພີ່ມເຕີມຫຼາຍປານໃດກັບພວກເຮົາ:

ຄຸນນະສົມບັດ Sysmon ໃນຫນຶ່ງ screenshot: ລາຍລະອຽດກ່ຽວກັບຂະບວນການໃນຮູບແບບທີ່ສາມາດອ່ານໄດ້

ທ່ານບໍ່ພຽງແຕ່ເຫັນເສັ້ນຄໍາສັ່ງ, ແຕ່ຍັງຊື່ໄຟລ໌, ເສັ້ນທາງໄປສູ່ຄໍາຮ້ອງສະຫມັກທີ່ສາມາດປະຕິບັດໄດ້, ສິ່ງທີ່ Windows ຮູ້ກ່ຽວກັບມັນ ("Windows Command Processor"), ຕົວລະບຸ. ພໍ່ແມ່ ຂະບວນການ, ເສັ້ນຄໍາສັ່ງ ພໍ່ແມ່, ເຊິ່ງເປີດຕົວ cmd shell, ເຊັ່ນດຽວກັນກັບຊື່ໄຟລ໌ທີ່ແທ້ຈິງຂອງຂະບວນການພໍ່ແມ່. ທຸກສິ່ງທຸກຢ່າງຢູ່ໃນສະຖານທີ່ດຽວ, ສຸດທ້າຍ!
ຈາກບັນທຶກ Sysmon ພວກເຮົາສາມາດສະຫຼຸບໄດ້ວ່າມີຄວາມເປັນໄປໄດ້ສູງຂອງເສັ້ນຄໍາສັ່ງທີ່ຫນ້າສົງໄສທີ່ພວກເຮົາເຫັນຢູ່ໃນບັນທຶກ "ດິບ" ບໍ່ແມ່ນຜົນມາຈາກການເຮັດວຽກປົກກະຕິຂອງພະນັກງານ. ໃນທາງກົງກັນຂ້າມ, ມັນຖືກສ້າງຂື້ນໂດຍຂະບວນການ C2 ຄ້າຍຄື - wmiexec, ດັ່ງທີ່ຂ້ອຍໄດ້ກ່າວມາກ່ອນຫນ້ານີ້ - ແລະຖືກສ້າງຂື້ນໂດຍກົງໂດຍຂະບວນການບໍລິການ WMI (WmiPrvSe). ໃນປັດຈຸບັນພວກເຮົາມີຕົວຊີ້ວັດວ່າຜູ້ໂຈມຕີທາງໄກຫຼືພາຍໃນກໍາລັງທົດສອບໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດ.

ແນະນໍາ Get-Sysmonlogs

ແນ່ນອນມັນດີຫຼາຍເມື່ອ Sysmon ເອົາໄມ້ທ່ອນໄວ້ໃນບ່ອນດຽວ. ແຕ່ມັນອາດຈະດີກວ່າຖ້າພວກເຮົາສາມາດເຂົ້າເຖິງຊ່ອງຂໍ້ມູນບັນທຶກສ່ວນບຸກຄົນ - ຕົວຢ່າງ, ຜ່ານຄໍາສັ່ງ PowerShell. ໃນ​ກໍ​ລະ​ນີ​ນີ້​, ທ່ານ​ສາ​ມາດ​ຂຽນ​ສະ​ຄິບ PowerShell ຂະ​ຫນາດ​ນ້ອຍ​ທີ່​ຈະ​ອັດ​ຕະ​ໂນ​ມັດ​ການ​ຄົ້ນ​ຫາ​ສໍາ​ລັບ​ໄພ​ຂົ່ມ​ຂູ່​ທີ່​ອາດ​ຈະ​ໄດ້​!
ຂ້ອຍບໍ່ແມ່ນຄົນທຳອິດທີ່ມີຄວາມຄິດແບບນີ້. ແລະມັນດີທີ່ໃນບາງກະທູ້ forum ແລະ GitHub ໂຄງການ ມັນໄດ້ຖືກອະທິບາຍແລ້ວກ່ຽວກັບວິທີໃຊ້ PowerShell ເພື່ອວິເຄາະບັນທຶກ Sysmon. ໃນກໍລະນີຂອງຂ້ອຍ, ຂ້ອຍຕ້ອງການຫຼີກເວັ້ນການຂຽນແຖວແຍກຕ່າງຫາກຂອງ script parsing ສໍາລັບແຕ່ລະພາກສະຫນາມ Sysmon. ສະນັ້ນຂ້າພະເຈົ້າໃຊ້ຫຼັກການຂອງຜູ້ຊາຍຂີ້ກຽດແລະຂ້າພະເຈົ້າຄິດວ່າຂ້າພະເຈົ້າມາກັບບາງສິ່ງບາງຢ່າງທີ່ຫນ້າສົນໃຈເປັນຜົນໄດ້ຮັບ.
ຈຸດສໍາຄັນທໍາອິດແມ່ນຄວາມສາມາດຂອງທີມງານ Get-WinEvent ອ່ານບັນທຶກ Sysmon, ກັ່ນຕອງເຫດການທີ່ຈໍາເປັນແລະສົ່ງຜົນໄດ້ຮັບໃຫ້ກັບຕົວແປ PS, ເຊັ່ນ: ທີ່ນີ້:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

ຖ້າທ່ານຕ້ອງການທົດສອບຄໍາສັ່ງດ້ວຍຕົນເອງ, ໂດຍການສະແດງເນື້ອຫາໃນອົງປະກອບທໍາອິດຂອງ $events array, $events[0].Message, ຜົນໄດ້ຮັບສາມາດເປັນຊຸດຂໍ້ຄວາມທີ່ມີຮູບແບບງ່າຍດາຍຫຼາຍ: ຊື່ຂອງ ພາກສະຫນາມ Sysmon, ຈໍ້າສອງເມັດ, ແລະຫຼັງຈາກນັ້ນມູນຄ່າຂອງມັນເອງ.

ໂຫ້ຍ! ການສົ່ງອອກ Sysmon ເຂົ້າໄປໃນຮູບແບບ JSON ທີ່ພ້ອມແລ້ວ

ເຈົ້າຄິດແບບດຽວກັນກັບຂ້ອຍບໍ? ດ້ວຍຄວາມພະຍາຍາມເລັກນ້ອຍ, ທ່ານສາມາດປ່ຽນຜົນຜະລິດເຂົ້າໄປໃນສະຕຣິງຮູບແບບ JSON ແລະຫຼັງຈາກນັ້ນໂຫລດມັນໂດຍກົງເຂົ້າໄປໃນວັດຖຸ PS ໂດຍໃຊ້ຄໍາສັ່ງທີ່ມີປະສິດທິພາບ. ConvertFrom-Json .
ຂ້ອຍຈະສະແດງລະຫັດ PowerShell ສໍາລັບການປ່ຽນ - ມັນງ່າຍດາຍຫຼາຍ - ໃນສ່ວນຕໍ່ໄປ. ສໍາລັບໃນປັດຈຸບັນ, ໃຫ້ເບິ່ງສິ່ງທີ່ຄໍາສັ່ງໃຫມ່ຂອງຂ້ອຍເອີ້ນວ່າ get-sysmonlogs, ທີ່ຂ້ອຍຕິດຕັ້ງເປັນໂມດູນ PS, ສາມາດເຮັດໄດ້.
ແທນທີ່ຈະລົງເລິກໃນການວິເຄາະບັນທຶກ Sysmon ຜ່ານການໂຕ້ຕອບບັນທຶກເຫດການທີ່ບໍ່ສະດວກ, ພວກເຮົາສາມາດຊອກຫາກິດຈະກໍາທີ່ເພີ່ມຂຶ້ນໂດຍກົງຈາກກອງປະຊຸມ PowerShell, ເຊັ່ນດຽວກັນກັບການໃຊ້ຄໍາສັ່ງ PS. ບ່ອນທີ່ (ນາມແຝງ – “?”) ເພື່ອຫຍໍ້ຜົນການຄົ້ນຫາ:

ບັນຊີລາຍຊື່ຂອງແກະ cmd ເປີດຕົວຜ່ານ WMI. ການວິເຄາະໄພຂົ່ມຂູ່ໃນລາຄາຖືກດ້ວຍທີມງານ Get-Sysmonlogs ຂອງພວກເຮົາເອງ

ອັດສະຈັນ! ຂ້ອຍສ້າງເຄື່ອງມືເພື່ອສຳຫຼວດບັນທຶກ Sysmon ຄືກັບວ່າມັນເປັນຖານຂໍ້ມູນ. ໃນບົດຄວາມຂອງພວກເຮົາກ່ຽວກັບ IQ ມັນໄດ້ຖືກສັງເກດເຫັນວ່າຫນ້າທີ່ນີ້ຈະຖືກປະຕິບັດໂດຍຜົນປະໂຫຍດເຢັນທີ່ໄດ້ອະທິບາຍໄວ້ໃນມັນ, ເຖິງແມ່ນວ່າຢ່າງເປັນທາງການຍັງຜ່ານການໂຕ້ຕອບແບບ SQL ທີ່ແທ້ຈິງ. ແມ່ນແລ້ວ, EQL ສະຫງ່າງາມ, ແຕ່ພວກເຮົາຈະສໍາຜັດກັບມັນຢູ່ໃນພາກທີສາມ.

Sysmon ແລະການວິເຄາະກາຟ

ຂໍໃຫ້ກ້າວກັບຄືນແລະຄິດກ່ຽວກັບສິ່ງທີ່ພວກເຮົາຫາກໍ່ສ້າງ. ໂດຍພື້ນຖານແລ້ວ, ຕອນນີ້ພວກເຮົາມີຖານຂໍ້ມູນເຫດການ Windows ທີ່ສາມາດເຂົ້າເຖິງໄດ້ຜ່ານ PowerShell. ດັ່ງທີ່ຂ້າພະເຈົ້າສັງເກດເຫັນກ່ອນຫນ້ານັ້ນ, ມີການເຊື່ອມຕໍ່ຫຼືຄວາມສໍາພັນລະຫວ່າງບັນທຶກ - ຜ່ານ ParentProcessId - ດັ່ງນັ້ນການລໍາດັບຊັ້ນທີ່ສົມບູນຂອງຂະບວນການສາມາດໄດ້ຮັບ.

ຖ້າທ່ານໄດ້ອ່ານຊຸດ "ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ" ທ່ານຮູ້ວ່າແຮກເກີມັກສ້າງການໂຈມຕີຫຼາຍຂັ້ນຕອນທີ່ສັບສົນ, ເຊິ່ງແຕ່ລະຂະບວນການມີບົດບາດຂະຫນາດນ້ອຍຂອງຕົນເອງແລະກະກຽມ springboard ສໍາລັບຂັ້ນຕອນຕໍ່ໄປ. ມັນເປັນການຍາກທີ່ສຸດທີ່ຈະຈັບສິ່ງດັ່ງກ່າວພຽງແຕ່ຈາກບັນທຶກ "ດິບ".
ແຕ່ດ້ວຍຄໍາສັ່ງ Get-Sysmonlogs ຂອງຂ້ອຍແລະໂຄງສ້າງຂໍ້ມູນເພີ່ມເຕີມພວກເຮົາຈະເບິ່ງຕໍ່ມາໃນຂໍ້ຄວາມ (ເສັ້ນສະແດງ, ແນ່ນອນ), ພວກເຮົາມີວິທີປະຕິບັດເພື່ອກວດຫາໄພຂົ່ມຂູ່ - ເຊິ່ງພຽງແຕ່ຮຽກຮ້ອງໃຫ້ມີການຄົ້ນຫາ vertex ທີ່ຖືກຕ້ອງ.
ເຊັ່ນດຽວກັນກັບໂຄງການ blog DYI ຂອງພວກເຮົາ, ຫຼາຍທ່ານເຮັດວຽກໃນການວິເຄາະລາຍລະອຽດຂອງໄພຂົ່ມຂູ່ໃນລະດັບຂະຫນາດນ້ອຍ, ທ່ານຈະຮູ້ວ່າວິທີການກວດພົບໄພຂົ່ມຂູ່ທີ່ສັບສົນໃນລະດັບວິສາຫະກິດຫຼາຍເທົ່າໃດ. ແລະການຮັບຮູ້ນີ້ແມ່ນທີ່ສຸດ ຈຸດສໍາຄັນ.

ພວກເຮົາຈະພົບກັບອາການແຊກຊ້ອນທີ່ຫນ້າສົນໃຈຄັ້ງທໍາອິດໃນສ່ວນທີສອງຂອງບົດຄວາມ, ບ່ອນທີ່ພວກເຮົາຈະເລີ່ມຕົ້ນເຊື່ອມຕໍ່ເຫດການ Sysmon ກັບກັນແລະກັນເຂົ້າໄປໃນໂຄງສ້າງທີ່ສັບສົນຫຼາຍ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com