Водич за анализа на закани на Sysmon, дел 1

Оваа статија е првиот дел од серијата за анализа на заканите на Sysmon. Сите други делови од серијата:

Дел 1: Вовед во анализа на логовите на Sysmon (ние сме тука)
Дел 2: Користење податоци за настанот на Sysmon за да се идентификуваат заканите
Дел 3. Длабинска анализа на заканите од Sysmon со помош на графикони

Ако работите во безбедноста на информациите, веројатно често треба да ги разберете тековните напади. Ако веќе имате обучено око, можете да барате нестандардна активност во „суровите“ необработени дневници - да речеме, работи скрипта PowerShell со командата DownloadString или VBS скрипта преправена како Word датотека - едноставно со прелистување низ најновата активност во дневникот на настани WindowsНо, ова е вистинска главоболка. За среќа, Microsoft го создаде Sysmon, кој ја олеснува анализата на нападите.

Сакате да ги разберете основните идеи зад заканите прикажани во дневникот на Sysmon? Преземете го нашиот водич WMI настани како средство за шпионирање и сфаќате како внатрешните лица можат тајно да ги следат другите вработени. Главниот проблем со работењето со дневникот на настани Windows Проблемот е во недостатокот на информации за родителските процеси, што значи дека е невозможно да се разбере хиерархијата на процесите. Записите во дневникот на Sysmon, од друга страна, го содржат ID-то на родителскиот процес, неговото име и командната линија што се извршува. Ви благодарам, Microsoft.

Во првиот дел од нашата серија, ќе погледнеме што можете да направите со основните информации од Sysmon. Во Дел 2, целосно ќе ги искористиме информациите за родителскиот процес за да создадеме посложени структури за усогласеност познати како графикони за закани. Во третиот дел, ќе погледнеме едноставен алгоритам кој скенира графикон за закана за да бара невообичаена активност со анализа на „тежината“ на графикот. И на крајот, ќе бидете наградени со уреден (и разбирлив) веројатен метод за откривање закани.

Дел 1: Вовед во анализа на логовите на Sysmon

Што може да ви помогне да ги разберете сложеноста на дневникот на настани? На крајот - SIEM. Ги нормализира настаните и ја поедноставува нивната последователна анализа. Но, не мора да одиме толку далеку, барем не на почетокот. На почетокот, за да ги разберете принципите на SIEM, доволно е да ја испробате прекрасната бесплатна алатка Sysmon. И со неа е изненадувачки лесно да се работи. Продолжи така, Мајкрософт!

Какви карактеристики има Sysmon?

Накратко, обезбедува корисни и читливи информации за процесите (видете ги сликите подолу). Ќе најдете многу корисни детали што не се наоѓаат во дневникот на настани. Windows, но најважни се следните полиња:

• ИД на процесот (децимална, не хексадециска!)
• ID на родителски процес
• Процес на командна линија
• Командна линија на матичниот процес
• Хеш на сликата на датотеката
• Имиња на слики на датотеки

Sysmon е инсталиран и како драјвер за уред и како услуга - повеќе детали овде. Неговата клучна предност е способноста да се анализираат дневниците од неколку извори, корелација на информации и излез на добиените вредности во една папка за дневник на настани лоцирана по патеката Мајкрософт -> Windows -> Сисмон -> ОперативенВо моите сопствени истражувања во дневникот WindowsГрешките што ме креваат косата како овие ме тераа постојано да се префрлам помеѓу, да речеме, папката PowerShell logs и папката Security, прелистувајќи низ логовите на настани во херојски обид некако да ги поврзам вредностите меѓу нив. Ова никогаш не е лесна задача и, како што подоцна сфатив, ќе беше подобро веднаш да се снабдам со аспирин.

Sysmon прави квантен скок напред обезбедувајќи корисни (или како што продавачите сакаат да кажат, активна) информации за да помогне во разбирањето на основните процеси. На пример, започнав тајна сесија wmiexec, симулирајќи го движењето на паметен инсајдер во мрежата. Ова е она што ќе го видите во дневникот на настани. Windows:

Во списанието Windows Некои информации за процесот се видливи, но не се многу корисни. Исто така, ID-ата на процесите се во хексадецимална форма?

За професионален ИТ професионалец со разбирање на основите на хакирањето, командната линија треба да биде сомнителна. Користењето cmd.exe за потоа да извршите друга команда и да го пренасочите излезот кон датотека со чудно име е очигледно слично на активностите на софтверот за следење и контрола команда и контрола (C2): На овој начин се креира псевдо-школка користејќи WMI услуги.
Сега да го погледнеме еквивалентот за влез во Sysmon, забележувајќи колку дополнителни информации ни дава:

Sysmon карактеристики во една слика од екранот: детални информации за процесот во читлива форма

Не само што ја гледате командната линија, туку и името на датотеката, патеката до извршната апликација, која Windows знае за тоа („Windows Идентификатор на командниот процесор родителски процес, командна линија родител, кој ја лансираше cmd школка, како и вистинското име на датотеката на матичниот процес. Сè на едно место, конечно!
Од дневникот на Sysmon можеме да заклучиме дека со висок степен на веројатност оваа сомнителна командна линија што ја видовме во „необработените“ дневници не е резултат на нормалната работа на вработениот. Напротив, тој беше генериран од процес сличен на C2 - wmiexec, како што споменав претходно - и беше директно предизвикан од WMI сервисниот процес (WmiPrvSe). Сега имаме показател дека оддалечен напаѓач или инсајдер ја тестира корпоративната инфраструктура.

Воведување на Get-Sysmonlogs

Секако дека е одлично кога Sysmon ги става дневниците на едно место. Но, веројатно би било уште подобро ако можеме програмски да пристапиме до поединечни полиња за дневници - на пример, преку командите на PowerShell. Во овој случај, можете да напишете мала PowerShell скрипта што ќе го автоматизира пребарувањето за потенцијални закани!
Не бев првиот што имал таква идеја. И добро е што во некои објави на форумот и GitHub проекти Веќе е објаснето како да се користи PowerShell за да се анализира дневникот на Sysmon. Во мојот случај, сакав да избегнам да пишувам посебни линии на скрипта за парсирање за секое поле Sysmon. Така го користев принципот на мрзлив човек и мислам дека дојдов до нешто интересно како резултат.
Првата важна точка е способноста на тимот Земете-WinEvent прочитајте ги дневниците на Sysmon, филтрирајте ги потребните настани и изнесете го резултатот во променливата PS, како овде:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

Ако сакате сами да ја тестирате командата, со прикажување на содржината во првиот елемент од низата $events, $events[0]. Порака, излезот може да биде низа текстуални низи со многу едноставен формат: името на Sysmon поле, две точки, а потоа и самата вредност.

Ура! Излегување на најавување на Sysmon во формат подготвен за JSON

Дали го мислиш истото како мене? Со малку повеќе напор, можете да го конвертирате излезот во стринг форматиран JSON и потоа да го вчитате директно во објект PS користејќи моќна команда ConvertFrom-Json .
Ќе го покажам кодот на PowerShell за конверзија - многу е едноставно - во следниот дел. Засега, да видиме што може да направи мојата нова команда наречена get-sysmonlogs, која ја инсталирав како PS модул.
Наместо да нурнеме длабоко во анализата на дневникот на Sysmon преку неповолниот интерфејс за евиденција на настани, можеме без напор да бараме дополнителна активност директно од сесијата PowerShell, како и да ја користиме командата PS каде (алијас – „?“) за скратување на резултатите од пребарувањето:

Список на cmd школки лансирани преку WMI. Анализа на закани по евтина цена со нашиот сопствен тим Get-Sysmonlogs

Прекрасно! Создадов алатка за анкетирање на дневникот на Sysmon како да е база на податоци. Во нашата статија за IQ беше забележано дека оваа функција ќе ја врши кул алатката опишана во неа, иако формално сè уште преку вистински интерфејс сличен на SQL. Да, EQL елегантен, но ќе го допреме во третиот дел.

Sysmon и анализа на графикони

Да се ​​вратиме чекор назад и да размислиме за она што штотуку го создадовме. Во суштина, сега имаме база на податоци за настани. Windows, достапно преку PowerShell. Како што забележав претходно, постојат врски или односи меѓу записите - преку ParentProcessId - така што можете да ја преземете целата хиерархија на процесите.

Ако сте ја прочитале серијата „Авантурите на неостварливиот малициозен софтвер“ знаете дека хакерите сакаат да создаваат комплексни повеќестепени напади, во кои секој процес игра своја мала улога и подготвува отскочна даска за следниот чекор. Исклучително е тешко да се фатат такви работи едноставно од „суровиот“ дневник.
Но, со мојата команда Get-Sysmonlogs и дополнителна структура на податоци што ќе ја разгледаме подоцна во текстот (график, се разбира), имаме практичен начин за откривање закани - што бара само да се направи вистинското пребарување на теме.
Како и секогаш со нашите проекти за блогови DYI, колку повеќе работите на анализа на деталите за заканите во мал обем, толку повеќе ќе сфатите колку сложено е откривањето закани на ниво на претпријатие. И оваа свест е исклучително важна точка.

Првите интересни компликации ќе ги сретнеме во вториот дел од статијата, каде што ќе започнеме да ги поврзуваме настаните на Sysmon едни со други во многу посложени структури.

Извор: www.habr.com