Windows-ൽ സംശയാസ്പദമായ പ്രക്രിയകൾ ആരംഭിക്കുന്നതിനെക്കുറിച്ചുള്ള ഇവന്റുകളുടെ ശേഖരണം ഞങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുകയും Quest InTrust ഉപയോഗിച്ച് ഭീഷണികൾ തിരിച്ചറിയുകയും ചെയ്യുന്നു

തികച്ചും മാന്യമായ പ്രക്രിയകൾക്ക് കീഴിൽ ഒരു മരത്തിൽ ഒരു ക്ഷുദ്ര പ്രക്രിയയുടെ മുട്ടയിടുന്നതാണ് ഏറ്റവും സാധാരണമായ ആക്രമണങ്ങളിൽ ഒന്ന്. എക്സിക്യൂട്ടബിൾ ഫയലിലേക്കുള്ള പാത സംശയാസ്പദമായേക്കാം: ക്ഷുദ്രവെയർ പലപ്പോഴും AppData അല്ലെങ്കിൽ Temp ഫോൾഡറുകൾ ഉപയോഗിക്കുന്നു, ഇത് നിയമാനുസൃത പ്രോഗ്രാമുകൾക്ക് സാധാരണമല്ല. ശരിയായി പറഞ്ഞാൽ, AppData-യിൽ ചില ഓട്ടോമാറ്റിക് അപ്‌ഡേറ്റ് യൂട്ടിലിറ്റികൾ എക്സിക്യൂട്ട് ചെയ്തിട്ടുണ്ടെന്ന് പറയേണ്ടതാണ്, അതിനാൽ പ്രോഗ്രാം ക്ഷുദ്രകരമാണെന്ന് സ്ഥിരീകരിക്കാൻ ലോഞ്ച് ലൊക്കേഷൻ പരിശോധിച്ചാൽ മാത്രം പോരാ.

നിയമസാധുതയുടെ ഒരു അധിക ഘടകം ഒരു ക്രിപ്റ്റോഗ്രാഫിക് സിഗ്നേച്ചറാണ്: പല യഥാർത്ഥ പ്രോഗ്രാമുകളും വെണ്ടർ ഒപ്പിട്ടതാണ്. സംശയാസ്പദമായ സ്റ്റാർട്ടപ്പ് ഇനങ്ങൾ തിരിച്ചറിയുന്നതിനുള്ള ഒരു രീതിയായി നിങ്ങൾക്ക് ഒപ്പ് ഇല്ലെന്ന വസ്തുത ഉപയോഗിക്കാം. എന്നാൽ മോഷ്ടിച്ച സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് സ്വയം ഒപ്പിടുന്ന ക്ഷുദ്രവെയർ വീണ്ടും ഉണ്ട്.

നിങ്ങൾക്ക് MD5 അല്ലെങ്കിൽ SHA256 ക്രിപ്‌റ്റോഗ്രാഫിക് ഹാഷുകളുടെ മൂല്യവും പരിശോധിക്കാം, ഇത് മുമ്പ് കണ്ടെത്തിയ ചില മാൽവെയറുകളുമായി പൊരുത്തപ്പെടാം. പ്രോഗ്രാമിലെ ഒപ്പുകൾ നോക്കി നിങ്ങൾക്ക് സ്റ്റാറ്റിക് വിശകലനം നടത്താം (യാര നിയമങ്ങളോ ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങളോ ഉപയോഗിച്ച്). ചലനാത്മക വിശകലനവും (ചില സുരക്ഷിതമായ അന്തരീക്ഷത്തിൽ ഒരു പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കുന്നതും അതിന്റെ പ്രവർത്തനങ്ങൾ നിരീക്ഷിക്കുന്നതും) റിവേഴ്സ് എഞ്ചിനീയറിംഗും ഉണ്ട്.

ഒരു ക്ഷുദ്ര പ്രക്രിയയുടെ നിരവധി അടയാളങ്ങൾ ഉണ്ടാകാം. ഈ ലേഖനത്തിൽ, വിൻഡോസിലെ പ്രസക്തമായ ഇവന്റുകളുടെ ഓഡിറ്റിംഗ് എങ്ങനെ പ്രവർത്തനക്ഷമമാക്കാമെന്ന് ഞങ്ങൾ നിങ്ങളോട് പറയും, ബിൽറ്റ്-ഇൻ റൂൾ ആശ്രയിക്കുന്ന അടയാളങ്ങൾ ഞങ്ങൾ വിശകലനം ചെയ്യും. ഇൻട്രസ്റ്റ് സംശയാസ്പദമായ ഒരു പ്രക്രിയ തിരിച്ചറിയാൻ. ഇൻട്രസ്റ്റ് ആണ് CLM പ്ലാറ്റ്ഫോം വിവിധ തരത്തിലുള്ള ആക്രമണങ്ങൾക്ക് ഇതിനകം നൂറുകണക്കിന് മുൻകൂട്ടി നിശ്ചയിച്ചിട്ടുള്ള പ്രതികരണങ്ങളുള്ള, ഘടനാരഹിതമായ ഡാറ്റ ശേഖരിക്കുന്നതിനും വിശകലനം ചെയ്യുന്നതിനും സംഭരിക്കുന്നതിനും.

പ്രോഗ്രാം സമാരംഭിക്കുമ്പോൾ, അത് കമ്പ്യൂട്ടറിന്റെ മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യും. എക്സിക്യൂട്ടബിൾ ഫയലിൽ കമ്പ്യൂട്ടർ നിർദ്ദേശങ്ങളും പിന്തുണയ്ക്കുന്ന ലൈബ്രറികളും അടങ്ങിയിരിക്കുന്നു (ഉദാഹരണത്തിന്, *.dll). ഒരു പ്രോസസ്സ് ഇതിനകം പ്രവർത്തിക്കുമ്പോൾ, അതിന് അധിക ത്രെഡുകൾ സൃഷ്ടിക്കാൻ കഴിയും. ഒരേസമയം വ്യത്യസ്തമായ നിർദ്ദേശങ്ങൾ നടപ്പിലാക്കാൻ ത്രെഡുകൾ ഒരു പ്രക്രിയയെ അനുവദിക്കുന്നു. മെമ്മറിയിലേക്ക് തുളച്ചുകയറാനും പ്രവർത്തിപ്പിക്കാനും ക്ഷുദ്ര കോഡിന് നിരവധി മാർഗങ്ങളുണ്ട്, അവയിൽ ചിലത് നോക്കാം.

ക്ഷുദ്രകരമായ ഒരു പ്രക്രിയ സമാരംഭിക്കുന്നതിനുള്ള ഏറ്റവും എളുപ്പ മാർഗം, അത് നേരിട്ട് സമാരംഭിക്കാൻ ഉപയോക്താവിനെ നിർബന്ധിക്കുക എന്നതാണ് (ഉദാഹരണത്തിന്, ഒരു ഇമെയിൽ അറ്റാച്ച്മെന്റിൽ നിന്ന്), തുടർന്ന് കമ്പ്യൂട്ടർ ഓണാക്കുമ്പോഴെല്ലാം അത് സമാരംഭിക്കുന്നതിന് RunOnce കീ ഉപയോഗിക്കുക. ഒരു ട്രിഗറിനെ അടിസ്ഥാനമാക്കി എക്സിക്യൂട്ട് ചെയ്യുന്ന രജിസ്ട്രി കീകളിൽ PowerShell സ്ക്രിപ്റ്റുകൾ സംഭരിക്കുന്ന "ഫയൽലെസ്സ്" ക്ഷുദ്രവെയറും ഇതിൽ ഉൾപ്പെടുന്നു. ഈ സാഹചര്യത്തിൽ, പവർഷെൽ സ്ക്രിപ്റ്റ് ക്ഷുദ്ര കോഡാണ്.

മാൽവെയർ വ്യക്തമായി പ്രവർത്തിക്കുന്നതിലെ പ്രശ്നം, അത് എളുപ്പത്തിൽ കണ്ടുപിടിക്കാൻ കഴിയുന്ന ഒരു അറിയപ്പെടുന്ന സമീപനമാണ് എന്നതാണ്. ചില ക്ഷുദ്രവെയറുകൾ മെമ്മറിയിൽ പ്രവർത്തിപ്പിക്കാൻ തുടങ്ങുന്നതിന് മറ്റൊരു പ്രക്രിയ ഉപയോഗിക്കുന്നത് പോലെയുള്ള കൂടുതൽ ബുദ്ധിപരമായ കാര്യങ്ങൾ ചെയ്യുന്നു. അതിനാൽ, ഒരു നിർദ്ദിഷ്ട കമ്പ്യൂട്ടർ നിർദ്ദേശം പ്രവർത്തിപ്പിക്കുന്നതിലൂടെയും പ്രവർത്തിപ്പിക്കുന്നതിന് ഒരു എക്സിക്യൂട്ടബിൾ ഫയൽ (.exe) വ്യക്തമാക്കുന്നതിലൂടെയും ഒരു പ്രോസസ്സിന് മറ്റൊരു പ്രക്രിയ സൃഷ്ടിക്കാൻ കഴിയും.

ഒരു പൂർണ്ണ പാത (ഉദാഹരണത്തിന്, C:Windowssystem32cmd.exe) അല്ലെങ്കിൽ ഒരു ഭാഗിക പാത (ഉദാഹരണത്തിന്, cmd.exe) ഉപയോഗിച്ച് ഫയൽ വ്യക്തമാക്കാൻ കഴിയും. യഥാർത്ഥ പ്രക്രിയ സുരക്ഷിതമല്ലെങ്കിൽ, അത് നിയമവിരുദ്ധമായ പ്രോഗ്രാമുകൾ പ്രവർത്തിപ്പിക്കാൻ അനുവദിക്കും. ഒരു ആക്രമണം ഇതുപോലെയാകാം: പൂർണ്ണമായ പാത വ്യക്തമാക്കാതെ ഒരു പ്രോസസ്സ് cmd.exe സമാരംഭിക്കുന്നു, ആക്രമണകാരി തന്റെ cmd.exe ഒരു സ്ഥലത്ത് സ്ഥാപിക്കുന്നു, അതുവഴി നിയമാനുസൃതമായതിന് മുമ്പായി പ്രോസസ്സ് അത് സമാരംഭിക്കുന്നു. ക്ഷുദ്രവെയർ പ്രവർത്തിച്ചുകഴിഞ്ഞാൽ, അതിന് നിയമാനുസൃതമായ ഒരു പ്രോഗ്രാം (C:Windowssystem32cmd.exe പോലുള്ളവ) സമാരംഭിക്കാൻ കഴിയും, അങ്ങനെ യഥാർത്ഥ പ്രോഗ്രാം ശരിയായി പ്രവർത്തിക്കുന്നത് തുടരും.

മുമ്പത്തെ ആക്രമണത്തിന്റെ ഒരു വ്യതിയാനം നിയമാനുസൃതമായ ഒരു പ്രക്രിയയിലേക്കുള്ള DLL കുത്തിവയ്പ്പാണ്. ഒരു പ്രക്രിയ ആരംഭിക്കുമ്പോൾ, അത് അതിന്റെ പ്രവർത്തനക്ഷമത വർദ്ധിപ്പിക്കുന്ന ലൈബ്രറികൾ കണ്ടെത്തി ലോഡ് ചെയ്യുന്നു. DLL കുത്തിവയ്പ്പ് ഉപയോഗിച്ച്, ഒരു ആക്രമണകാരി നിയമാനുസൃതമായ അതേ പേരും API ഉം ഉള്ള ഒരു ക്ഷുദ്ര ലൈബ്രറി സൃഷ്ടിക്കുന്നു. പ്രോഗ്രാം ഒരു ക്ഷുദ്ര ലൈബ്രറി ലോഡുചെയ്യുന്നു, അതാകട്ടെ, നിയമാനുസൃതമായ ഒന്ന് ലോഡുചെയ്യുകയും, ആവശ്യാനുസരണം, പ്രവർത്തനങ്ങൾ നടത്താൻ അതിനെ വിളിക്കുകയും ചെയ്യുന്നു. ദോഷകരമായ ലൈബ്രറി നല്ല ലൈബ്രറിയുടെ പ്രോക്സി ആയി പ്രവർത്തിക്കാൻ തുടങ്ങുന്നു.

മെമ്മറിയിലേക്ക് ക്ഷുദ്ര കോഡ് ഇടുന്നതിനുള്ള മറ്റൊരു മാർഗ്ഗം, അത് ഇതിനകം പ്രവർത്തിക്കുന്ന ഒരു സുരക്ഷിതമല്ലാത്ത പ്രക്രിയയിലേക്ക് തിരുകുക എന്നതാണ്. പ്രോസസ്സുകൾക്ക് വിവിധ ഉറവിടങ്ങളിൽ നിന്ന് ഇൻപുട്ട് ലഭിക്കുന്നു - നെറ്റ്‌വർക്കിൽ നിന്നോ ഫയലുകളിൽ നിന്നോ വായിക്കുന്നു. ഇൻപുട്ട് നിയമാനുസൃതമാണെന്ന് ഉറപ്പാക്കാൻ അവർ സാധാരണയായി ഒരു പരിശോധന നടത്തുന്നു. എന്നാൽ നിർദ്ദേശങ്ങൾ നടപ്പിലാക്കുമ്പോൾ ചില പ്രക്രിയകൾക്ക് ശരിയായ പരിരക്ഷയില്ല. ഈ ആക്രമണത്തിൽ, ക്ഷുദ്ര കോഡ് അടങ്ങിയ ഒരു ലൈബ്രറിയോ ഡിസ്കിലോ എക്സിക്യൂട്ടബിൾ ഫയലോ ഇല്ല. ചൂഷണം ചെയ്യപ്പെടുന്ന പ്രക്രിയയ്‌ക്കൊപ്പം എല്ലാം മെമ്മറിയിൽ സൂക്ഷിക്കുന്നു.

ഇനി വിൻഡോസിൽ ഇത്തരം ഇവന്റുകളുടെ ശേഖരണം പ്രവർത്തനക്ഷമമാക്കുന്നതിനുള്ള രീതിയും അത്തരം ഭീഷണികൾക്കെതിരെ പരിരക്ഷ നടപ്പിലാക്കുന്ന ഇൻട്രസ്റ്റിലെ നിയമവും നോക്കാം. ആദ്യം, നമുക്ക് ഇത് InTrust മാനേജ്മെന്റ് കൺസോൾ വഴി സജീവമാക്കാം.

വിൻഡോസ് ഒഎസിന്റെ പ്രോസസ് ട്രാക്കിംഗ് കഴിവുകൾ ഈ നിയമം ഉപയോഗിക്കുന്നു. നിർഭാഗ്യവശാൽ, അത്തരം ഇവന്റുകളുടെ ശേഖരണം പ്രവർത്തനക്ഷമമാക്കുന്നത് വ്യക്തമല്ല. നിങ്ങൾ മാറ്റേണ്ട 3 വ്യത്യസ്ത ഗ്രൂപ്പ് നയ ക്രമീകരണങ്ങൾ ഉണ്ട്:

കമ്പ്യൂട്ടർ കോൺഫിഗറേഷൻ > നയങ്ങൾ > വിൻഡോസ് ക്രമീകരണങ്ങൾ > സുരക്ഷാ ക്രമീകരണങ്ങൾ > പ്രാദേശിക നയങ്ങൾ > ഓഡിറ്റ് നയം > ഓഡിറ്റ് പ്രോസസ്സ് ട്രാക്കിംഗ്

കമ്പ്യൂട്ടർ കോൺഫിഗറേഷൻ > നയങ്ങൾ > വിൻഡോസ് ക്രമീകരണങ്ങൾ > സുരക്ഷാ ക്രമീകരണങ്ങൾ > വിപുലമായ ഓഡിറ്റ് നയ കോൺഫിഗറേഷൻ > ഓഡിറ്റ് നയങ്ങൾ > വിശദമായ ട്രാക്കിംഗ് > ഓഡിറ്റ് പ്രക്രിയ സൃഷ്ടിക്കൽ

കമ്പ്യൂട്ടർ കോൺഫിഗറേഷൻ > നയങ്ങൾ > അഡ്മിനിസ്ട്രേറ്റീവ് ടെംപ്ലേറ്റുകൾ > സിസ്റ്റം > ഓഡിറ്റ് പ്രോസസ് ക്രിയേഷൻ > പ്രോസസ്സ് ക്രിയേഷൻ ഇവന്റുകളിൽ കമാൻഡ് ലൈൻ ഉൾപ്പെടുത്തുക

ഒരിക്കൽ പ്രവർത്തനക്ഷമമാക്കിയാൽ, സംശയാസ്പദമായ പെരുമാറ്റം പ്രകടിപ്പിക്കുന്ന മുമ്പ് അറിയപ്പെടാത്ത ഭീഷണികൾ കണ്ടെത്താൻ InTrust നിയമങ്ങൾ നിങ്ങളെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് തിരിച്ചറിയാൻ കഴിയും ഇവിടെ വിവരിച്ചിരിക്കുന്നു Dridex ക്ഷുദ്രവെയർ. HP Bromium പ്രോജക്റ്റിന് നന്ദി, ഈ ഭീഷണി എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് ഞങ്ങൾക്കറിയാം.

അതിന്റെ പ്രവർത്തനങ്ങളുടെ ശൃംഖലയിൽ, ഒരു ഷെഡ്യൂൾ ചെയ്ത ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നതിന് Dridex schtasks.exe ഉപയോഗിക്കുന്നു. കമാൻഡ് ലൈനിൽ നിന്ന് ഈ പ്രത്യേക യൂട്ടിലിറ്റി ഉപയോഗിക്കുന്നത് വളരെ സംശയാസ്പദമായ സ്വഭാവമായി കണക്കാക്കപ്പെടുന്നു; ഉപയോക്തൃ ഫോൾഡറുകളിലേക്ക് പോയിന്റ് ചെയ്യുന്ന പാരാമീറ്ററുകൾ അല്ലെങ്കിൽ "നെറ്റ് വ്യൂ" അല്ലെങ്കിൽ "whoami" കമാൻഡുകൾക്ക് സമാനമായ പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് svchost.exe സമാരംഭിക്കുന്നത് സമാനമാണ്. അനുബന്ധത്തിന്റെ ഒരു ഭാഗം ഇതാ സിഗ്മ നിയമങ്ങൾ:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust-ൽ, സംശയാസ്പദമായ എല്ലാ പെരുമാറ്റങ്ങളും ഒരു നിയമത്തിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, കാരണം ഈ പ്രവർത്തനങ്ങളിൽ ഭൂരിഭാഗവും ഒരു പ്രത്യേക ഭീഷണിക്ക് മാത്രമുള്ളതല്ല, മറിച്ച് ഒരു സങ്കീർണ്ണതയിൽ സംശയാസ്പദമാണ്, കൂടാതെ 99% കേസുകളിലും പൂർണ്ണമായും മാന്യമായ ഉദ്ദേശ്യങ്ങൾക്കായി ഉപയോഗിക്കാറില്ല. ഈ പ്രവർത്തനങ്ങളുടെ പട്ടികയിൽ ഉൾപ്പെടുന്നു, എന്നാൽ ഇവയിൽ മാത്രം പരിമിതപ്പെടുന്നില്ല:

• ഉപയോക്തൃ താൽക്കാലിക ഫോൾഡറുകൾ പോലെയുള്ള അസാധാരണമായ സ്ഥലങ്ങളിൽ നിന്ന് പ്രവർത്തിക്കുന്ന പ്രക്രിയകൾ.
• സംശയാസ്പദമായ അനന്തരാവകാശമുള്ള അറിയപ്പെടുന്ന സിസ്റ്റം പ്രോസസ്സ് - ചില ഭീഷണികൾ സിസ്റ്റം പ്രക്രിയകളുടെ പേര് കണ്ടെത്താതെ തുടരാൻ ശ്രമിച്ചേക്കാം.
• പ്രാദേശിക സിസ്റ്റം ക്രെഡൻഷ്യലുകളോ സംശയാസ്പദമായ അനന്തരാവകാശമോ ഉപയോഗിക്കുമ്പോൾ cmd അല്ലെങ്കിൽ PsExec പോലുള്ള അഡ്മിനിസ്ട്രേറ്റീവ് ടൂളുകളുടെ സംശയാസ്പദമായ നിർവ്വഹണങ്ങൾ.
• ഒരു സിസ്റ്റം എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനുമുമ്പ് ransomware വൈറസുകളുടെ ഒരു സാധാരണ സ്വഭാവമാണ് സംശയാസ്പദമായ ഷാഡോ കോപ്പി പ്രവർത്തനങ്ങൾ; അവ ബാക്കപ്പുകളെ നശിപ്പിക്കുന്നു:

  - vssadmin.exe വഴി;
  - WMI വഴി.

• മുഴുവൻ രജിസ്ട്രി തേനീച്ചക്കൂടുകളുടെയും ഡംപുകൾ രജിസ്റ്റർ ചെയ്യുക.
• at.exe പോലുള്ള കമാൻഡുകൾ ഉപയോഗിച്ച് വിദൂരമായി ഒരു പ്രോസസ്സ് സമാരംഭിക്കുമ്പോൾ ക്ഷുദ്ര കോഡിന്റെ തിരശ്ചീന ചലനം.
• net.exe ഉപയോഗിക്കുന്ന സംശയാസ്പദമായ പ്രാദേശിക ഗ്രൂപ്പ് പ്രവർത്തനങ്ങളും ഡൊമെയ്ൻ പ്രവർത്തനങ്ങളും.
• netsh.exe ഉപയോഗിച്ചുള്ള സംശയാസ്പദമായ ഫയർവാൾ പ്രവർത്തനം.
• ACL-ന്റെ സംശയാസ്പദമായ കൃത്രിമത്വം.
• ഡാറ്റ എക്സ്ഫിൽട്രേഷനായി ബിറ്റ്സ് ഉപയോഗിക്കുന്നു.
• WMI ഉപയോഗിച്ചുള്ള സംശയാസ്പദമായ കൃത്രിമങ്ങൾ.
• സംശയാസ്പദമായ സ്ക്രിപ്റ്റ് കമാൻഡുകൾ.
• സുരക്ഷിതമായ സിസ്റ്റം ഫയലുകൾ ഡംപ് ചെയ്യാൻ ശ്രമിക്കുന്നു.

RUYK, LockerGoga, മറ്റ് ransomware, ക്ഷുദ്രവെയർ, സൈബർ ക്രൈം ടൂൾകിറ്റുകൾ എന്നിവ പോലുള്ള ഭീഷണികൾ കണ്ടെത്തുന്നതിന് സംയുക്ത നിയമം വളരെ നന്നായി പ്രവർത്തിക്കുന്നു. തെറ്റായ പോസിറ്റീവുകൾ കുറയ്ക്കുന്നതിന് ഉൽപ്പാദന പരിതസ്ഥിതിയിൽ വെണ്ടർ ഈ നിയമം പരീക്ഷിച്ചു. സിഗ്മ പ്രോജക്റ്റിന് നന്ദി, ഈ സൂചകങ്ങളിൽ ഭൂരിഭാഗവും കുറഞ്ഞ എണ്ണം ശബ്ദ സംഭവങ്ങൾ സൃഷ്ടിക്കുന്നു.

കാരണം InTrust-ൽ ഇതൊരു മോണിറ്ററിംഗ് റൂളാണ്, ഒരു ഭീഷണിയോടുള്ള പ്രതികരണമായി നിങ്ങൾക്ക് ഒരു പ്രതികരണ സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യാം. നിങ്ങൾക്ക് അന്തർനിർമ്മിത സ്ക്രിപ്റ്റുകളിൽ ഒന്ന് ഉപയോഗിക്കാം അല്ലെങ്കിൽ നിങ്ങളുടേതായ സൃഷ്‌ടിക്കാം, ഇൻട്രസ്റ്റ് അത് സ്വയമേവ വിതരണം ചെയ്യും.

കൂടാതെ, നിങ്ങൾക്ക് ഇവന്റുമായി ബന്ധപ്പെട്ട എല്ലാ ടെലിമെട്രികളും പരിശോധിക്കാം: പവർഷെൽ സ്ക്രിപ്റ്റുകൾ, പ്രോസസ്സ് എക്സിക്യൂഷൻ, ഷെഡ്യൂൾ ചെയ്ത ടാസ്‌ക് കൃത്രിമങ്ങൾ, ഡബ്ല്യുഎംഐ അഡ്മിനിസ്‌ട്രേറ്റീവ് ആക്‌റ്റിവിറ്റി, കൂടാതെ സുരക്ഷാ സംഭവങ്ങളിൽ പോസ്റ്റ്‌മോർട്ടത്തിനായി അവ ഉപയോഗിക്കുക.

ഇൻട്രസ്റ്റിന് നൂറുകണക്കിന് മറ്റ് നിയമങ്ങളുണ്ട്, അവയിൽ ചിലത്:

• പവർഷെൽ ഡൗൺഗ്രേഡ് ആക്രമണം കണ്ടെത്തുന്നത് ആരെങ്കിലും മനഃപൂർവ്വം പവർഷെല്ലിന്റെ പഴയ പതിപ്പ് ഉപയോഗിക്കുമ്പോഴാണ്... പഴയ പതിപ്പിൽ എന്താണ് സംഭവിക്കുന്നതെന്ന് ഓഡിറ്റ് ചെയ്യാൻ ഒരു മാർഗവുമില്ല.
• ഒരു പ്രത്യേക പ്രത്യേക ഗ്രൂപ്പിലെ (ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്റർമാർ പോലുള്ളവ) അംഗങ്ങളായ അക്കൗണ്ടുകൾ ആകസ്മികമായോ സുരക്ഷാ സംഭവങ്ങൾ മൂലമോ വർക്ക്സ്റ്റേഷനുകളിലേക്ക് ലോഗിൻ ചെയ്യുന്നതാണ് ഹൈ-പ്രിവിലേജ് ലോഗൺ കണ്ടെത്തൽ.

മുൻ‌നിശ്ചയിച്ച കണ്ടെത്തൽ, പ്രതികരണ നിയമങ്ങളുടെ രൂപത്തിൽ മികച്ച സുരക്ഷാ രീതികൾ ഉപയോഗിക്കാൻ InTrust നിങ്ങളെ അനുവദിക്കുന്നു. എന്തെങ്കിലും വ്യത്യസ്തമായി പ്രവർത്തിക്കണമെന്ന് നിങ്ങൾ കരുതുന്നുവെങ്കിൽ, നിങ്ങൾക്ക് റൂളിന്റെ സ്വന്തം പകർപ്പ് ഉണ്ടാക്കാനും ആവശ്യാനുസരണം ക്രമീകരിക്കാനും കഴിയും. ഒരു പൈലറ്റ് നടത്താനോ താൽക്കാലിക ലൈസൻസുള്ള വിതരണ കിറ്റുകൾ നേടാനോ നിങ്ങൾക്ക് ഒരു അപേക്ഷ സമർപ്പിക്കാം ഫീഡ്ബാക്ക് ഫോം ഞങ്ങളുടെ വെബ്സൈറ്റിൽ.

ഞങ്ങളുടെ സബ്സ്ക്രൈബ് ചെയ്യുക ഫേസ്ബുക്ക് പേജ്, ഞങ്ങൾ അവിടെ ചെറിയ കുറിപ്പുകളും രസകരമായ ലിങ്കുകളും പ്രസിദ്ധീകരിക്കുന്നു.

വിവര സുരക്ഷയെക്കുറിച്ചുള്ള ഞങ്ങളുടെ മറ്റ് ലേഖനങ്ങൾ വായിക്കുക:

RDP വഴി പരാജയപ്പെട്ട അംഗീകാര ശ്രമങ്ങളുടെ നിരക്ക് കുറയ്ക്കാൻ InTrust-ന് എങ്ങനെ കഴിയും

ഞങ്ങൾ ഒരു ransomware ആക്രമണം കണ്ടെത്തുകയും ഡൊമെയ്‌ൻ കൺട്രോളറിലേക്ക് ആക്‌സസ് നേടുകയും ഈ ആക്രമണങ്ങളെ ചെറുക്കാൻ ശ്രമിക്കുകയും ചെയ്യുന്നു

Windows OS അടിസ്ഥാനമാക്കിയുള്ള ഒരു വർക്ക്സ്റ്റേഷന്റെ ലോഗുകളിൽ നിന്ന് എന്താണ് ഉപയോഗപ്രദമാകുന്നത് (ജനപ്രിയ ലേഖനം)

പ്ലിയറുകളും ഡക്‌ട് ടേപ്പും ഇല്ലാതെ ഉപയോക്തൃ ജീവിതചക്രം ട്രാക്കിംഗ്

പിന്നെ ആരാണ് അത് ചെയ്തത്? വിവര സുരക്ഷാ ഓഡിറ്റ് ഞങ്ങൾ ഓട്ടോമേറ്റ് ചെയ്യുന്നു

ഒരു SIEM സിസ്റ്റത്തിന്റെ ഉടമസ്ഥാവകാശത്തിന്റെ ചിലവ് എങ്ങനെ കുറയ്ക്കാം, നിങ്ങൾക്ക് എന്തുകൊണ്ട് സെൻട്രൽ ലോഗ് മാനേജ്മെന്റ് (CLM) ആവശ്യമാണ്

അവലംബം: www.habr.com