Кои корисни работи може да се извлечат од дневниците на работната станица базирана на Windows?

Корисничката работна станица е најранливата точка на инфраструктурата во однос на безбедноста на информациите. Корисниците може да добијат писмо до нивната работна е-пошта што се чини дека е од безбеден извор, но со линк до заразена локација. Можеби некој ќе преземе алатка корисна за работа од непозната локација. Да, можете да смислите десетици случаи за тоа како малициозен софтвер може да се инфилтрира во внатрешните корпоративни ресурси преку корисниците. Затоа, работните станици бараат зголемено внимание, а во оваа статија ќе ви кажеме каде и какви настани да преземете за да ги следите нападите.

За да открие напад во најраната можна фаза, WIndows има три корисни извори на настани: Дневник за безбедносни настани, Дневник за следење на системот и Дневници на Power Shell.

Дневник на безбедносни настани

Ова е главната локација за складирање за дневници за безбедност на системот. Ова вклучува настани од најавување/одјавување на корисникот, пристап до објекти, промени во политиките и други активности поврзани со безбедноста. Се разбира, ако е конфигурирана соодветната политика.

Набројување на корисници и групи (настани 4798 и 4799). На самиот почеток на нападот, малициозен софтвер често пребарува низ локални кориснички сметки и локални групи на работна станица за да ги најде ингеренциите за неговите сомнителни зделки. Овие настани ќе помогнат да се открие злонамерен код пред да продолжи понатаму и, користејќи ги собраните податоци, да се прошири на други системи.

Создавање локална сметка и промени во локалните групи (настани 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 и 5377). Нападот може да започне, на пример, со додавање нов корисник во групата локални администратори.

Обиди за најавување со локална сметка (настан 4624). Угледни корисници се најавуваат со сметка на домен, а идентификувањето на најавување под локална сметка може да значи почеток на напад. Настанот 4624 исто така вклучува најавувања под сметка на домен, така што кога обработувате настани, треба да ги филтрирате настаните каде што доменот е различен од името на работната станица.

Обид да се најавите со наведената сметка (настан 4648). Ова се случува кога процесот работи во режимот „работи како“. Ова не треба да се случува при нормално функционирање на системите, затоа таквите настани мора да се контролираат.

Заклучување/отклучување на работната станица (настани 4800-4803). Категоријата на сомнителни настани ги вклучува сите дејства што се случиле на заклучена работна станица.

Промени во конфигурацијата на огнениот ѕид (настани 4944-4958). Очигледно, при инсталирање на нов софтвер, поставките за конфигурација на заштитниот ѕид може да се променат, што ќе предизвика лажни позитиви. Во повеќето случаи, нема потреба да се контролираат таквите промени, но дефинитивно нема да му наштети да знаете за нив.

Поврзување на Plug'n'play уреди (настан 6416 и само за WIndows 10). Важно е да се внимава на ова ако корисниците обично не поврзуваат нови уреди на работната станица, но потоа одеднаш го прават тоа.

Windows вклучува 9 категории на ревизија и 50 подкатегории за фино подесување. Минималниот сет на подкатегории што треба да бидат овозможени во поставките:

Пријавување / исклучување

• Најави се;
• Одјави се;
• Заклучување на сметката;
• Други настани за најавување/одјавување.

Сметка за управување со

• Управување со корисничка сметка;
• Управување со безбедносни групи.

Промена на политиката

• Промена на ревизорската политика;
• Промена на политиката за автентикација;
• Промена на политиката за овластување.

Системски монитор (Sysmon)

Sysmon е алатка вградена во Windows која може да снима настани во системскиот дневник. Обично треба да го инсталирате одделно.

Истите овие настани, во принцип, може да се најдат во безбедносниот дневник (со овозможување на саканата ревизорска политика), но Sysmon дава повеќе детали. Кои настани може да се преземат од Sysmon?

Процесот на креирање (ID 1 на настанот). Дневникот за безбедносни настани на системот може исто така да ви каже кога започнал *.exe, па дури и да го покаже неговото име и патеката за стартување. Но, за разлика од Sysmon, нема да може да го прикаже хашот на апликацијата. Злонамерниот софтвер дури може да се нарече безопасен notepad.exe, но хашот е тој што ќе го извади на виделина.

Мрежни врски (ID на настанот 3). Очигледно, има многу мрежни врски и невозможно е да ги следите сите. Но, важно е да се земе предвид дека Sysmon, за разлика од Безбедносниот дневник, може да поврзе мрежна врска со полињата ProcessID и ProcessGUID и ги прикажува портите и IP адресите на изворот и дестинацијата.

Промени во системскиот регистар (ID на настанот 12-14). Најлесен начин да се додадете во автоматско активирање е да се регистрирате во регистарот. Безбедносниот дневник може да го направи ова, но Sysmon покажува кој ги направил промените, кога, од каде, ID на процесот и претходната вредност на клучот.

Создавање датотека (ID на настан 11). Sysmon, за разлика од безбедносниот дневник, ќе ја прикаже не само локацијата на датотеката, туку и нејзиното име. Јасно е дека не можете да следите сè, но можете да извршите ревизија на одредени директориуми.

И сега она што не е во политиките за дневник за безбедност, но е во Sysmon:

Промена на времето за создавање датотека (ID 2 на настанот). Некои малициозни програми може да го измамат датумот на создавање датотека за да ја сокријат од извештаите за неодамна креираните датотеки.

Се вчитуваат драјвери и динамични библиотеки (идентификатори на настани 6-7). Следење на вчитување на DLL и драјвери на уреди во меморијата, проверка на дигиталниот потпис и неговата валидност.

Создадете нишка во процес кој работи (ID 8 на настанот). Еден вид на напад кој исто така треба да се следи.

RawAccessRead Настани (ID на настан 9). Операции за читање на диск користејќи „.“. Во огромното мнозинство на случаи, таквата активност треба да се смета за абнормална.

Креирајте именуван тек на датотека (ID на настанот 15). Настанот се евидентира кога ќе се создаде именуван тек на датотека што емитува настани со хаш од содржината на датотеката.

Креирање именувана цевка и поврзување (ID на настанот 17-18). Следење на злонамерен код што комуницира со други компоненти преку именуваната цевка.

WMI активност (ID на настан 19). Регистрација на настани кои се генерираат при пристап до системот преку протоколот WMI.

За да го заштитите самиот Sysmon, треба да ги следите настаните со ID 4 (Sysmon запира и стартува) и ID 16 (промени во конфигурацијата на Sysmon).

Моќни логови на школка

Power Shell е моќна алатка за управување со инфраструктурата на Windows, така што големи се шансите напаѓачот да ја избере. Постојат два извора што можете да ги користите за да добиете податоци за настанот на Power Shell: дневник на Windows PowerShell и дневник на Microsoft-WindowsPowerShell/Оперативен.

Дневник на Windows PowerShell

Вчитан е давателот на податоци (ID 600 на настанот). Обезбедувачите на PowerShell се програми кои обезбедуваат извор на податоци за PowerShell за преглед и управување. На пример, вградените провајдери може да бидат променливи на околината на Windows или системскиот регистар. Појавата на нови добавувачи мора да се следи за навреме да се открие злонамерната активност. На пример, ако видите дека WSMan се појавува меѓу провајдерите, тогаш е започната далечинска сесија на PowerShell.

Microsoft-WindowsPowerShell / Оперативен дневник (или MicrosoftWindows-PowerShellCore / Operational во PowerShell 6)

Евиденција на модулот (ID 4103 на настанот). Настаните складираат информации за секоја извршена команда и параметрите со кои била повикана.

Вклучување на блокирање скрипти (ID 4104 на настанот). Евиденцијата за блокирање скрипти го прикажува секој извршен блок од кодот на PowerShell. Дури и ако напаѓачот се обиде да ја скрие командата, овој тип на настан ќе ја прикаже командата PowerShell што всушност била извршена. Овој тип на настан може, исто така, да евидентира некои повици на API на ниско ниво, овие настани обично се снимаат како Verbose, но ако се користи сомнителна команда или скрипта во блок код, тие ќе бидат евидентирани како сериозност на предупредување.

Имајте предвид дека штом алатката е конфигурирана да ги собира и анализира овие настани, ќе биде потребно дополнително време за отстранување грешки за да се намали бројот на лажни позитиви.

Кажете ни во коментарите кои дневници собирате за контроли за безбедноста на информациите и кои алатки ги користите за ова. Една од нашите области се решенијата за ревизија на настани за безбедност на информациите. За да се реши проблемот со собирање и анализа на дневниците, можеме да предложиме внимателно да го разгледаме Потрага InTrust, кој може да ги компресира зачуваните податоци со сооднос 20:1, а еден негов инсталиран пример е способен да обработи до 60000 настани во секунда од 10000 извори.

Извор: www.habr.com