Sysmon ഇപ്പോൾ ക്ലിപ്പ്ബോർഡ് ഉള്ളടക്കം എഴുതാൻ കഴിയും

Sysmon-ന്റെ പതിപ്പ് 12-ന്റെ റിലീസ് സെപ്റ്റംബർ 17-ന് പ്രഖ്യാപിച്ചു Syinternals പേജ്. വാസ്തവത്തിൽ, പ്രോസസ് മോണിറ്ററിന്റെയും പ്രോക്ഡമ്പിന്റെയും പുതിയ പതിപ്പുകളും ഈ ദിവസം പുറത്തിറങ്ങി. ഈ ലേഖനത്തിൽ, സിസ്‌മോണിന്റെ പതിപ്പ് 12-ന്റെ പ്രധാനവും വിവാദപരവുമായ നവീകരണത്തെക്കുറിച്ച് ഞാൻ സംസാരിക്കും - ഇവന്റ് ഐഡി 24 ഉള്ള ഇവന്റുകളുടെ തരം, അതിൽ ക്ലിപ്പ്ബോർഡ് ലോഗിൻ ചെയ്‌തിരിക്കുന്നു.

ഇത്തരത്തിലുള്ള ഇവന്റിൽ നിന്നുള്ള വിവരങ്ങൾ സംശയാസ്പദമായ പ്രവർത്തനം നിരീക്ഷിക്കാൻ പുതിയ അവസരങ്ങൾ തുറക്കുന്നു (അതുപോലെ തന്നെ പുതിയ കേടുപാടുകൾ). അതിനാൽ, ആരാണ്, എവിടെ, എന്താണ് അവർ കൃത്യമായി പകർത്താൻ ശ്രമിച്ചതെന്ന് നിങ്ങൾക്ക് മനസിലാക്കാൻ കഴിയും. കട്ടിന് താഴെ പുതിയ ഇവന്റിന്റെ ചില ഫീൽഡുകളുടെ വിവരണവും കുറച്ച് ഉപയോഗ കേസുകളും ഉണ്ട്.

പുതിയ ഇവന്റിൽ ഇനിപ്പറയുന്ന ഫീൽഡുകൾ അടങ്ങിയിരിക്കുന്നു:

ചിത്രം: ക്ലിപ്പ്ബോർഡിലേക്ക് ഡാറ്റ എഴുതിയ പ്രക്രിയ.
സെഷൻ: ക്ലിപ്പ്ബോർഡ് എഴുതിയ സെഷൻ. ഇത് സിസ്റ്റം (0) ആയിരിക്കാം
ഓൺലൈനിലോ വിദൂരമായോ പ്രവർത്തിക്കുമ്പോൾ, മുതലായവ.
ClientInfo: സെഷൻ ഉപയോക്തൃനാമവും വിദൂര സെഷന്റെ കാര്യത്തിൽ, ലഭ്യമെങ്കിൽ യഥാർത്ഥ ഹോസ്റ്റ്നാമവും IP വിലാസവും അടങ്ങിയിരിക്കുന്നു.
ഹാഷുകൾ: പകർത്തിയ വാചകം സംരക്ഷിച്ച ഫയലിന്റെ പേര് നിർണ്ണയിക്കുന്നു (ഫയൽ ഡിലീറ്റ് തരത്തിന്റെ ഇവന്റുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിന് സമാനമാണ്).
ആർക്കൈവ് ചെയ്തത്: സ്റ്റാറ്റസ്, ക്ലിപ്പ്ബോർഡിൽ നിന്നുള്ള വാചകം Sysmon ആർക്കൈവ് ഡയറക്‌ടറിയിൽ സംരക്ഷിച്ചിട്ടുണ്ടോ എന്ന്.

അവസാനത്തെ രണ്ട് ഫീൽഡുകൾ ഭയപ്പെടുത്തുന്നതാണ്. പതിപ്പ് 11 മുതൽ സിസ്‌മോണിന് (അനുയോജ്യമായ ക്രമീകരണങ്ങളോടെ) വിവിധ ഡാറ്റ അതിന്റെ ആർക്കൈവ് ഡയറക്ടറിയിൽ സംരക്ഷിക്കാൻ കഴിയും എന്നതാണ് വസ്തുത. ഉദാഹരണത്തിന്, ഇവന്റ് ഐഡി 23 ഫയൽ ഇല്ലാതാക്കൽ ഇവന്റുകൾ ലോഗ് ചെയ്യുന്നു, അവയെല്ലാം ഒരേ ആർക്കൈവ് ഡയറക്ടറിയിൽ സംരക്ഷിക്കാൻ കഴിയും. ക്ലിപ്പ്ബോർഡിൽ പ്രവർത്തിച്ചതിന്റെ ഫലമായി സൃഷ്ടിച്ച ഫയലുകളുടെ പേരിലേക്ക് CLIP ടാഗ് ചേർത്തു. ഫയലുകളിൽ തന്നെ ക്ലിപ്പ്ബോർഡിലേക്ക് പകർത്തിയ കൃത്യമായ ഡാറ്റ അടങ്ങിയിരിക്കുന്നു.

സേവ് ചെയ്ത ഫയൽ ഇങ്ങനെയാണ്

ഇൻസ്റ്റാളേഷൻ സമയത്ത് ഒരു ഫയലിലേക്ക് സംരക്ഷിക്കുന്നത് പ്രവർത്തനക്ഷമമാണ്. ടെക്സ്റ്റ് സംരക്ഷിക്കപ്പെടാത്ത പ്രക്രിയകളുടെ വൈറ്റ് ലിസ്റ്റുകൾ നിങ്ങൾക്ക് സജ്ജമാക്കാൻ കഴിയും.

ഉചിതമായ ആർക്കൈവ് ഡയറക്‌ടറി ക്രമീകരണങ്ങൾക്കൊപ്പം Sysmon ഇൻസ്റ്റാളേഷൻ ഇങ്ങനെയാണ് കാണപ്പെടുന്നത്:

ഇവിടെ, ക്ലിപ്പ്ബോർഡ് ഉപയോഗിക്കുന്ന പാസ്‌വേഡ് മാനേജർമാരെ ഓർമ്മിക്കുന്നത് മൂല്യവത്താണെന്ന് ഞാൻ കരുതുന്നു. പാസ്‌വേഡ് മാനേജറുള്ള ഒരു സിസ്റ്റത്തിൽ Sysmon ഉണ്ടെങ്കിൽ ആ പാസ്‌വേഡുകൾ ക്യാപ്‌ചർ ചെയ്യാൻ നിങ്ങളെ (അല്ലെങ്കിൽ ഒരു ആക്രമണകാരിയെ) അനുവദിക്കും. പകർത്തിയ വാചകം അനുവദിക്കുന്നത് ഏത് പ്രക്രിയയാണെന്ന് നിങ്ങൾക്ക് അറിയാമെന്ന് കരുതുക (ഇത് എല്ലായ്പ്പോഴും പാസ്‌വേഡ് മാനേജർ പ്രോസസ്സ് അല്ല, പക്ഷേ ചില svchost), ഈ ഒഴിവാക്കൽ വൈറ്റ് ലിസ്റ്റിലേക്ക് ചേർക്കാം, സംരക്ഷിക്കില്ല.

നിങ്ങൾക്ക് അറിയില്ലായിരിക്കാം, എന്നാൽ ക്ലിപ്പ്ബോർഡിൽ നിന്നുള്ള വാചകം നിങ്ങൾ RDP സെഷൻ മോഡിലേക്ക് മാറുമ്പോൾ റിമോട്ട് സെർവർ ക്യാപ്‌ചർ ചെയ്യുന്നു. നിങ്ങളുടെ ക്ലിപ്പ്ബോർഡിൽ എന്തെങ്കിലും ഉണ്ടെങ്കിൽ, നിങ്ങൾ RDP സെഷനുകൾക്കിടയിൽ മാറുകയാണെങ്കിൽ, ആ വിവരങ്ങൾ നിങ്ങളോടൊപ്പം സഞ്ചരിക്കും.

ക്ലിപ്പ്ബോർഡിൽ പ്രവർത്തിക്കുന്നതിനുള്ള സിസ്‌മോണിന്റെ കഴിവുകൾ നമുക്ക് സംഗ്രഹിക്കാം.

നിശ്ചിത:

• RDP വഴിയും പ്രാദേശികമായും ഒട്ടിച്ച വാചകത്തിന്റെ പകർപ്പ്;
• വിവിധ യൂട്ടിലിറ്റികൾ/പ്രക്രിയകൾ വഴി ക്ലിപ്പ്ബോർഡിൽ നിന്ന് ഡാറ്റ ക്യാപ്ചർ ചെയ്യുക;
• ഈ ടെക്‌സ്‌റ്റ് ഇതുവരെ ഒട്ടിച്ചിട്ടില്ലെങ്കിലും, ലോക്കൽ വെർച്വൽ മെഷീനിൽ നിന്ന്/അതിലേക്ക് ടെക്‌സ്‌റ്റ് പകർത്തുക/ഒട്ടിക്കുക.

രേഖപ്പെടുത്തിയിട്ടില്ല:

• ഒരു ലോക്കൽ വെർച്വൽ മെഷീനിൽ നിന്ന്/അതിലേക്ക് ഫയലുകൾ പകർത്തുന്നു/ഒട്ടിക്കുന്നു;
• RDP വഴി ഫയലുകൾ പകർത്തുക/ഒട്ടിക്കുക
• നിങ്ങളുടെ ക്ലിപ്പ്ബോർഡ് ഹൈജാക്ക് ചെയ്യുന്ന ഒരു ക്ഷുദ്രവെയർ ക്ലിപ്പ്ബോർഡിലേക്ക് മാത്രമേ എഴുതുകയുള്ളൂ.

അവ്യക്തത ഉണ്ടായിരുന്നിട്ടും, ഇത്തരത്തിലുള്ള ഇവന്റ് ആക്രമണകാരിയുടെ പ്രവർത്തനങ്ങളുടെ അൽഗോരിതം പുനഃസ്ഥാപിക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും ആക്രമണങ്ങൾക്ക് ശേഷം പോസ്റ്റ്‌മോർട്ടം രൂപീകരിക്കുന്നതിന് മുമ്പ് ആക്‌സസ് ചെയ്യാൻ കഴിയാത്ത ഡാറ്റ തിരിച്ചറിയാൻ സഹായിക്കുകയും ചെയ്യും. ക്ലിപ്പ്ബോർഡിലേക്ക് ഉള്ളടക്കം എഴുതുന്നത് ഇപ്പോഴും പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ടെങ്കിൽ, ആർക്കൈവ് ഡയറക്‌ടറിയിലേക്കുള്ള എല്ലാ ആക്‌സസും രേഖപ്പെടുത്തുകയും അപകടസാധ്യതയുള്ളവ (sysmon.exe ആരംഭിക്കാത്തവ) തിരിച്ചറിയുകയും ചെയ്യേണ്ടത് പ്രധാനമാണ്.

മുകളിൽ ലിസ്റ്റുചെയ്തിരിക്കുന്ന ഇവന്റുകൾ റെക്കോർഡുചെയ്യാനും വിശകലനം ചെയ്യാനും പ്രതികരിക്കാനും, നിങ്ങൾക്ക് ഉപകരണം ഉപയോഗിക്കാം ഇൻട്രസ്റ്റ്, ഇത് മൂന്ന് സമീപനങ്ങളും സംയോജിപ്പിക്കുന്നു, കൂടാതെ, ശേഖരിച്ച എല്ലാ അസംസ്‌കൃത ഡാറ്റയുടെയും ഫലപ്രദമായ കേന്ദ്രീകൃത ശേഖരമാണ്. അസംസ്‌കൃത ഡാറ്റയുടെ പ്രോസസ്സിംഗും സംഭരണവും InTrust-ലേക്ക് കൈമാറ്റം ചെയ്യുന്നതിലൂടെ അവരുടെ ലൈസൻസിംഗിന്റെ വില കുറയ്ക്കുന്നതിന് ജനപ്രിയ SIEM സിസ്റ്റങ്ങളുമായുള്ള അതിന്റെ സംയോജനം ഞങ്ങൾക്ക് ക്രമീകരിക്കാൻ കഴിയും.

InTrust-നെ കുറിച്ച് കൂടുതലറിയാൻ, ഞങ്ങളുടെ മുൻ ലേഖനങ്ങൾ വായിക്കുക അല്ലെങ്കിൽ ഫീഡ്‌ബാക്ക് ഫോമിൽ ഒരു അഭ്യർത്ഥന ഇടുക.

ഒരു SIEM സിസ്റ്റത്തിന്റെ ഉടമസ്ഥാവകാശത്തിന്റെ ചിലവ് എങ്ങനെ കുറയ്ക്കാം, നിങ്ങൾക്ക് എന്തുകൊണ്ട് സെൻട്രൽ ലോഗ് മാനേജ്മെന്റ് (CLM) ആവശ്യമാണ്

Windows-ൽ സംശയാസ്പദമായ പ്രക്രിയകൾ ആരംഭിക്കുന്നതിനെക്കുറിച്ചുള്ള ഇവന്റുകളുടെ ശേഖരണം ഞങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുകയും Quest InTrust ഉപയോഗിച്ച് ഭീഷണികൾ തിരിച്ചറിയുകയും ചെയ്യുന്നു

RDP വഴി പരാജയപ്പെട്ട അംഗീകാര ശ്രമങ്ങളുടെ നിരക്ക് കുറയ്ക്കാൻ InTrust-ന് എങ്ങനെ കഴിയും

ഞങ്ങൾ ഒരു ransomware ആക്രമണം കണ്ടെത്തുകയും ഡൊമെയ്‌ൻ കൺട്രോളറിലേക്ക് ആക്‌സസ് നേടുകയും ഈ ആക്രമണങ്ങളെ ചെറുക്കാൻ ശ്രമിക്കുകയും ചെയ്യുന്നു

Windows OS അടിസ്ഥാനമാക്കിയുള്ള ഒരു വർക്ക്സ്റ്റേഷന്റെ ലോഗുകളിൽ നിന്ന് എന്താണ് ഉപയോഗപ്രദമാകുന്നത് (ജനപ്രിയ ലേഖനം)

പിന്നെ ആരാണ് അത് ചെയ്തത്? വിവര സുരക്ഷാ ഓഡിറ്റ് ഞങ്ങൾ ഓട്ടോമേറ്റ് ചെയ്യുന്നു

അവലംബം: www.habr.com