ProHoster > Blogs > Administrācija > Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Viens no visizplatÄ«tākajiem uzbrukumu veidiem ir ļaunprātÄ«ga procesa nārsts kokā saskaņā ar pilnÄ«gi cienÄ«jamiem procesiem. CeļŔ uz izpildāmo failu var bÅ«t aizdomÄ«gs: ļaunprātÄ«ga programmatÅ«ra bieži izmanto mapes AppData vai Temp, un tas nav raksturÄ«gi likumÄ«gām programmām. TaisnÄ«bas labad jāsaka, ka dažas automātiskās atjaunināŔanas utilÄ«tas tiek izpildÄ«tas programmā AppData, tāpēc ar palaiÅ”anas vietas pārbaudi vien nepietiek, lai apstiprinātu, ka programma ir ļaunprātÄ«ga.

Papildu leÄ£itimitātes faktors ir kriptogrāfiskais paraksts: daudzas oriÄ£inālās programmas ir parakstÄ«jis pārdevējs. Varat izmantot to, ka nav paraksta, kā metodi aizdomÄ«gu startÄ“Å”anas vienumu identificÄ“Å”anai. Bet atkal ir ļaunprātÄ«ga programmatÅ«ra, kas izmanto nozagtu sertifikātu, lai parakstÄ«tu sevi.

Varat arÄ« pārbaudÄ«t MD5 vai SHA256 kriptogrāfisko jaucēju vērtÄ«bu, kas var atbilst kādai iepriekÅ” atklātai ļaunprātÄ«gai programmatÅ«rai. Varat veikt statisko analÄ«zi, apskatot parakstus programmā (izmantojot Yara noteikumus vai pretvÄ«rusu produktus). Ir arÄ« dinamiskā analÄ«ze (programmas palaiÅ”ana droŔā vidē un tās darbÄ«bu uzraudzÄ«ba) un reversā inženierija.

Var bÅ«t daudzas ļaunprātÄ«ga procesa pazÄ«mes. Å ajā rakstā mēs jums pateiksim, kā iespējot attiecÄ«go notikumu auditÄ“Å”anu sistēmā Windows, mēs analizēsim pazÄ«mes, uz kurām balstās iebÅ«vētais noteikums. UzticÄ«ba lai identificētu aizdomÄ«gu procesu. UzticÄ«ba ir CLM platforma nestrukturētu datu apkopoÅ”anai, analÄ«zei un glabāŔanai, kam jau ir simtiem iepriekÅ” noteiktu reakciju uz dažāda veida uzbrukumiem.

Kad programma tiek palaista, tā tiek ielādēta datora atmiņā. Izpildāmajā failā ir datora instrukcijas un atbalsta bibliotēkas (piemēram, *.dll). Kad process jau darbojas, tas var izveidot papildu pavedienus. Pavedieni ļauj procesam vienlaikus izpildīt dažādas instrukciju kopas. Ļaunprātīgajam kodam ir daudz veidu, kā iekļūt atmiņā un palaist, apskatīsim dažus no tiem.

VienkārŔākais veids, kā palaist ļaunprātÄ«gu procesu, ir piespiest lietotāju to palaist tieÅ”i (piemēram, no e-pasta pielikuma), pēc tam izmantojiet taustiņu RunOnce, lai palaistu to katru reizi, kad dators tiek ieslēgts. Tas ietver arÄ« ā€œbez failaā€ ļaunprātÄ«gu programmatÅ«ru, kas saglabā PowerShell skriptus reÄ£istra atslēgās, kas tiek izpildÄ«tas, pamatojoties uz trigeri. Å ajā gadÄ«jumā PowerShell skripts ir ļaunprātÄ«gs kods.

Problēma ar nepārprotamu ļaunprātīgu programmatūru ir tā, ka tā ir zināma pieeja, ko var viegli noteikt. Dažas ļaunprātīgas programmatūras veic daudz gudrākas darbības, piemēram, izmanto citu procesu, lai sāktu izpildi atmiņā. Tāpēc process var izveidot citu procesu, palaižot noteiktu datora instrukciju un norādot izpildāmo failu (.exe), kas jāpalaiž.

Failu var norādÄ«t, izmantojot pilnu ceļu (piemēram, C:Windowssystem32cmd.exe) vai daļēju ceļu (piemēram, cmd.exe). Ja sākotnējais process ir nedroÅ”s, tas ļaus darboties neleÄ£itÄ«mām programmām. Uzbrukums var izskatÄ«ties Ŕādi: process palaiž cmd.exe, nenorādot pilnu ceļu, uzbrucējs novieto savu cmd.exe vietā, lai process to palaistu pirms likumÄ«gā. Kad ļaunprogrammatÅ«ra darbojas, tā savukārt var palaist likumÄ«gu programmu (piemēram, C:Windowssystem32cmd.exe), lai sākotnējā programma turpinātu pareizi darboties.

IepriekŔējā uzbrukuma variants ir DLL ievadÄ«Å”ana likumÄ«gā procesā. Kad process sākas, tas atrod un ielādē bibliotēkas, kas paplaÅ”ina tā funkcionalitāti. Izmantojot DLL injekciju, uzbrucējs izveido ļaunprātÄ«gu bibliotēku ar tādu paÅ”u nosaukumu un API kā likumÄ«gai. Programma ielādē ļaunprātÄ«gu bibliotēku, un tā, savukārt, ielādē likumÄ«gu bibliotēku un, ja nepiecieÅ”ams, izsauc to, lai veiktu darbÄ«bas. Ä»aunprātÄ«gā bibliotēka sāk darboties kā labas bibliotēkas starpniekserveris.

Vēl viens veids, kā ļaunprātÄ«gu kodu ievietot atmiņā, ir ievietot to nedroŔā procesā, kas jau darbojas. Procesi saņem ievadi no dažādiem avotiem ā€“ nolasÄ«Å”anu no tÄ«kla vai failiem. Viņi parasti veic pārbaudi, lai pārliecinātos, ka ievade ir likumÄ«ga. Bet dažiem procesiem, izpildot instrukcijas, nav atbilstoÅ”as ā€‹ā€‹aizsardzÄ«bas. Å ajā uzbrukumā diskā nav bibliotēkas vai izpildāmā faila, kas satur ļaunprātÄ«gu kodu. Viss tiek saglabāts atmiņā kopā ar izmantoto procesu.

Tagad apskatÄ«sim metodiku, kā iespējot Ŕādu notikumu apkopoÅ”anu sistēmā Windows, un InTrust noteikumu, kas ievieÅ” aizsardzÄ«bu pret Ŕādiem draudiem. Vispirms aktivizēsim to, izmantojot InTrust pārvaldÄ«bas konsoli.

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Noteikums izmanto Windows OS procesa izsekoÅ”anas iespējas. Diemžēl Ŕādu notikumu apkopoÅ”anas iespējoÅ”ana nebÅ«t nav acÄ«mredzama. Ir jāmaina 3 dažādi grupas politikas iestatÄ«jumi:

Datora konfigurācija > Politikas > Windows iestatÄ«jumi > DroŔības iestatÄ«jumi > Vietējās politikas > Audita politika > Audita procesa izsekoÅ”ana

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Datora konfigurācija > Politikas > Windows iestatÄ«jumi > DroŔības iestatÄ«jumi > Papildu audita politikas konfigurācija > Audita politikas > Detalizēta izsekoÅ”ana > Audita procesa izveide

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Datora konfigurācija > Politikas > Administratīvās veidnes > Sistēma > Audita procesa izveide > Iekļaut komandrindu procesa izveides notikumos

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Kad InTrust kārtulas ir iespējotas, tās ļauj noteikt iepriekÅ” nezināmus draudus, kas izrāda aizdomÄ«gu darbÄ«bu. Piemēram, jÅ«s varat identificēt Å”eit aprakstÄ«ts Dridex ļaunprātÄ«ga programmatÅ«ra. Pateicoties HP Bromium projektam, mēs zinām, kā Å”ie draudi darbojas.

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Savā darbÄ«bu ķēdē Dridex izmanto schtasks.exe, lai izveidotu ieplānotu uzdevumu. Å Ä«s konkrētās utilÄ«tas izmantoÅ”ana no komandrindas tiek uzskatÄ«ta par ļoti aizdomÄ«gu rÄ«cÄ«bu; svchost.exe palaiÅ”ana ar parametriem, kas norāda uz lietotāja mapēm, vai ar parametriem, kas ir lÄ«dzÄ«gi komandām ā€œnet viewā€ vai ā€œwhoamiā€, izskatās lÄ«dzÄ«gi. Å eit ir fragments no atbilstoŔā SIGMA noteikumi:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust visas aizdomÄ«gās darbÄ«bas tiek iekļautas vienā noteikumā, jo lielākā daļa no Ŕīm darbÄ«bām nav specifiskas konkrētam apdraudējumam, bet gan ir aizdomÄ«gas kompleksā un 99% gadÄ«jumu tiek izmantotas ne gluži cēliem mērÄ·iem. Å is darbÄ«bu saraksts ietver, bet ne tikai:

  • Procesi, kas darbojas no neparastām vietām, piemēram, lietotāja pagaidu mapēm.
  • Labi zināms sistēmas process ar aizdomÄ«gu mantojumu ā€” daži draudi var mēģināt izmantot sistēmas procesu nosaukumus, lai tie paliktu neatklāti.
  • AizdomÄ«gas administratÄ«vo rÄ«ku, piemēram, cmd vai PsExec, izpildes, ja tiek izmantoti lokālās sistēmas akreditācijas dati vai aizdomÄ«gs mantojums.
  • AizdomÄ«gas ēnu kopÄ“Å”anas darbÄ«bas ir izplatÄ«ta izspiedējvÄ«rusu darbÄ«ba pirms sistēmas Å”ifrÄ“Å”anas; tās nogalina dublējumus:

    ā€” izmantojot vssadmin.exe;
    - Izmantojot WMI.

  • ReÄ£istrējiet visa reÄ£istra stropu izgāztuves.
  • Ä»aunprātÄ«ga koda horizontāla pārvietoÅ”ana, kad process tiek palaists attālināti, izmantojot komandas, piemēram, at.exe.
  • AizdomÄ«gas lokālās grupas darbÄ«bas un domēna darbÄ«bas, izmantojot net.exe.
  • AizdomÄ«ga ugunsmÅ«ra darbÄ«ba, izmantojot netsh.exe.
  • AizdomÄ«gas manipulācijas ar ACL.
  • BITS izmantoÅ”ana datu eksfiltrācijai.
  • AizdomÄ«gas manipulācijas ar WMI.
  • AizdomÄ«gas skripta komandas.
  • Mēģinājumi izmest droÅ”us sistēmas failus.

Kombinētais noteikums darbojas ļoti labi, lai atklātu tādus draudus kā RUYK, LockerGoga un citas izspiedējprogrammatÅ«ras, ļaunprātÄ«gas programmatÅ«ras un kibernoziedzÄ«bas rÄ«ku komplekti. Pārdevējs ir pārbaudÄ«jis kārtulu ražoÅ”anas vidēs, lai samazinātu viltus pozitÄ«vus rezultātus. Pateicoties SIGMA projektam, lielākā daļa no Å”iem rādÄ«tājiem rada minimālu trokŔņa notikumu skaitu.

Jo Programmā InTrust tas ir uzraudzības noteikums, jūs varat izpildīt atbildes skriptu kā reakciju uz draudiem. Varat izmantot kādu no iebūvētajiem skriptiem vai izveidot savu, un InTrust to automātiski izplatīs.

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

Turklāt varat pārbaudÄ«t visu ar notikumiem saistÄ«to telemetriju: PowerShell skriptus, procesa izpildi, plānoto uzdevumu manipulācijas, WMI administratÄ«vās darbÄ«bas un izmantot tos pēcnāves droŔības incidentiem.

Mēs iespējojam notikumu apkopoÅ”anu par aizdomÄ«gu procesu palaiÅ”anu sistēmā Windows un identificējam draudus, izmantojot Quest InTrust

InTrust ir simtiem citu noteikumu, daži no tiem:

  • PowerShell pazemināŔanas uzbrukums tiek atklāts tad, kad kāds apzināti izmanto vecāku PowerShell versiju, jo... vecākā versijā nebija iespējas pārbaudÄ«t, kas notiek.
  • Augstu privilēģiju pieteikÅ”anās noteikÅ”ana ir tad, kad konti, kas ir noteiktas priviliģētas grupas dalÄ«bnieki (piemēram, domēna administratori), piesakās darbstacijās nejauÅ”i vai droŔības incidentu dēļ.

InTrust ļauj izmantot labāko droŔības praksi iepriekÅ” noteiktu noteikÅ”anas un atbildes noteikumu veidā. Un, ja uzskatāt, ka kaut kam vajadzētu darboties citādi, varat izveidot savu kārtulas kopiju un konfigurēt to pēc vajadzÄ«bas. JÅ«s varat iesniegt pieteikumu izmēģinājuma veikÅ”anai vai izplatÄ«Å”anas komplektu iegÅ«Å”anai ar pagaidu licencēm caur atsauksmes formu mÅ«su mājas lapā.

Abonējiet mūsu Facebook lapa, mēs tur publicējam īsas piezīmes un interesantas saites.

Izlasiet citus mūsu rakstus par informācijas droŔību:

Kā InTrust var palīdzēt samazināt neveiksmīgo autorizācijas mēģinājumu skaitu, izmantojot RDP

Mēs atklājam izspiedējvÄ«rusa uzbrukumu, iegÅ«stam piekļuvi domēna kontrollerim un cenÅ”amies pretoties Å”iem uzbrukumiem

Kādas noderīgas lietas var iegūt no Windows darbstacijas žurnāliem? (populārs raksts)

Lietotāju dzÄ«ves cikla izsekoÅ”ana bez knaiblēm vai lÄ«mlentes

Kas to izdarÄ«ja? Mēs automatizējam informācijas droŔības auditus

Kā samazināt SIEM sistēmas Ä«paÅ”umtiesÄ«bu izmaksas un kāpēc jums ir nepiecieÅ”ama centrālā žurnālu pārvaldÄ«ba (CLM)

Avots: www.habr.com

Pievieno komentāru