विंडोज-आधारित वर्कस्टेशनच्या लॉगमधून कोणत्या उपयुक्त गोष्टी काढल्या जाऊ शकतात?

माहिती सुरक्षिततेच्या दृष्टीने वापरकर्ता वर्कस्टेशन हा पायाभूत सुविधांचा सर्वात असुरक्षित बिंदू आहे. वापरकर्त्यांना त्यांच्या कामाच्या ईमेलवर एक पत्र प्राप्त होऊ शकते जे सुरक्षित स्त्रोताकडून असल्याचे दिसते, परंतु संक्रमित साइटच्या लिंकसह. कदाचित कोणीतरी अज्ञात ठिकाणाहून कामासाठी उपयुक्त युटिलिटी डाउनलोड करेल. होय, मालवेअर वापरकर्त्यांद्वारे अंतर्गत कॉर्पोरेट संसाधनांमध्ये कसे घुसखोरी करू शकते याची डझनभर प्रकरणे तुमच्या समोर येऊ शकतात. म्हणून, वर्कस्टेशन्सवर अधिक लक्ष देणे आवश्यक आहे आणि या लेखात आम्ही तुम्हाला सांगू की हल्ल्यांचे निरीक्षण करण्यासाठी कुठे आणि कोणते कार्यक्रम घ्यावेत.

लवकरात लवकर संभाव्य टप्प्यावर हल्ला शोधण्यासाठी, Windows कडे तीन उपयुक्त इव्हेंट स्रोत आहेत: सुरक्षा इव्हेंट लॉग, सिस्टम मॉनिटरिंग लॉग आणि पॉवर शेल लॉग.

सुरक्षा इव्हेंट लॉग

सिस्टम सुरक्षा लॉगसाठी हे मुख्य स्टोरेज स्थान आहे. यामध्ये वापरकर्ता लॉगिन/लॉगआउट, वस्तूंमध्ये प्रवेश, धोरणातील बदल आणि इतर सुरक्षा-संबंधित क्रियाकलापांचा समावेश आहे. अर्थात, योग्य धोरण कॉन्फिगर केले असल्यास.

वापरकर्ते आणि गटांची गणना (इव्हेंट 4798 आणि 4799). आक्रमणाच्या अगदी सुरुवातीस, मालवेअर अनेकदा स्थानिक वापरकर्ता खाती आणि वर्कस्टेशनवरील स्थानिक गटांमधून त्याच्या अंधुक व्यवहारांसाठी क्रेडेन्शियल्स शोधतो. हे इव्हेंट दुर्भावनापूर्ण कोड पुढे जाण्यापूर्वी आणि, गोळा केलेला डेटा वापरून, इतर सिस्टममध्ये पसरवण्याआधी शोधण्यात मदत करतील.

स्थानिक खाते तयार करणे आणि स्थानिक गटांमध्ये बदल (इव्हेंट ४७२०, ४७२२–४७२६, ४७३८, ४७४०, ४७६७, ४७८०, ४७८१, ४७९४, ५३७६ आणि ५३७७). हल्ला देखील सुरू होऊ शकतो, उदाहरणार्थ, स्थानिक प्रशासक गटामध्ये नवीन वापरकर्ता जोडून.

स्थानिक खात्यासह लॉग इन करण्याचा प्रयत्न (इव्हेंट 4624). आदरणीय वापरकर्ते डोमेन खात्यासह लॉग इन करतात आणि स्थानिक खात्याच्या अंतर्गत लॉगिन ओळखणे म्हणजे आक्रमणाची सुरुवात होऊ शकते. इव्हेंट 4624 मध्ये डोमेन खात्याच्या अंतर्गत लॉगिन देखील समाविष्ट आहेत, त्यामुळे इव्हेंटवर प्रक्रिया करताना, तुम्हाला इव्हेंट फिल्टर करणे आवश्यक आहे जेथे डोमेन वर्कस्टेशन नावापेक्षा वेगळे आहे.

निर्दिष्ट खात्यासह लॉग इन करण्याचा प्रयत्न (इव्हेंट 4648). जेव्हा प्रक्रिया "रन म्हणून" मोडमध्ये चालू असते तेव्हा असे होते. सिस्टमच्या सामान्य ऑपरेशन दरम्यान हे घडू नये, म्हणून अशा घटना नियंत्रित केल्या पाहिजेत.

वर्कस्टेशन लॉक करणे/अनलॉक करणे (इव्हेंट 4800-4803). संशयास्पद घटनांच्या श्रेणीमध्ये लॉक केलेल्या वर्कस्टेशनवर झालेल्या कोणत्याही कृतींचा समावेश होतो.

फायरवॉल कॉन्फिगरेशन बदल (इव्हेंट 4944-4958). अर्थात, नवीन सॉफ्टवेअर स्थापित करताना, फायरवॉल कॉन्फिगरेशन सेटिंग्ज बदलू शकतात, ज्यामुळे चुकीचे सकारात्मक परिणाम होतील. बर्‍याच प्रकरणांमध्ये, अशा बदलांवर नियंत्रण ठेवण्याची गरज नाही, परंतु त्यांच्याबद्दल जाणून घेणे निश्चितपणे दुखापत होणार नाही.

प्लगइन प्ले डिव्हाइसेस कनेक्ट करणे (इव्हेंट 6416 आणि फक्त Windows 10 साठी). जर वापरकर्ते सहसा नवीन डिव्हाइसेस वर्कस्टेशनशी कनेक्ट करत नसतील, परंतु नंतर ते अचानक करतात तर यावर लक्ष ठेवणे महत्वाचे आहे.

Windows मध्ये 9 ऑडिट श्रेणी आणि 50 उपश्रेणी फाइन-ट्यूनिंगसाठी समाविष्ट आहेत. उपश्रेणींचा किमान संच जो सेटिंग्जमध्ये सक्षम केला पाहिजे:

लोगॉन / लॉगऑफ

• लॉग ऑन;
• लॉगऑफ;
• खाते लॉकआउट;
• इतर लॉगऑन/लॉगऑफ इव्हेंट.

खाते व्यवस्थापन

• वापरकर्ता खाते व्यवस्थापन;
• सुरक्षा गट व्यवस्थापन.

धोरण बदल

• ऑडिट धोरण बदल;
• प्रमाणीकरण धोरण बदल;
• अधिकृतता धोरण बदल.

सिस्टम मॉनिटर (सिस्मन)

सिस्मॉन ही विंडोजमध्ये तयार केलेली युटिलिटी आहे जी सिस्टम लॉगमध्ये इव्हेंट रेकॉर्ड करू शकते. सहसा आपल्याला ते स्वतंत्रपणे स्थापित करण्याची आवश्यकता असते.

या समान घटना, तत्त्वतः, सुरक्षा लॉगमध्ये आढळू शकतात (इच्छित ऑडिट धोरण सक्षम करून), परंतु Sysmon अधिक तपशील प्रदान करते. Sysmon कडून कोणते कार्यक्रम घेतले जाऊ शकतात?

प्रक्रिया निर्मिती (इव्हेंट आयडी 1). सिस्टम सिक्युरिटी इव्हेंट लॉग तुम्हाला *.exe कधी सुरू झाला हे देखील सांगू शकतो आणि त्याचे नाव आणि लॉन्च मार्ग देखील दर्शवू शकतो. परंतु सिस्मॉनच्या विपरीत, ते ऍप्लिकेशन हॅश दर्शविण्यास सक्षम होणार नाही. दुर्भावनायुक्त सॉफ्टवेअरला निरुपद्रवी notepad.exe देखील म्हटले जाऊ शकते, परंतु हे हॅश आहे जे ते प्रकाशात आणेल.

नेटवर्क कनेक्शन (इव्हेंट आयडी 3). अर्थात, तेथे बरेच नेटवर्क कनेक्शन आहेत आणि त्या सर्वांचा मागोवा ठेवणे अशक्य आहे. परंतु हे लक्षात घेणे महत्त्वाचे आहे की Sysmon, सुरक्षा लॉगच्या विपरीत, ProcessID आणि ProcessGUID फील्डशी नेटवर्क कनेक्शन बांधू शकते आणि स्त्रोत आणि गंतव्यस्थानाचे पोर्ट आणि IP पत्ते दाखवते.

सिस्टम रेजिस्ट्रीमधील बदल (इव्हेंट आयडी 12-14). स्वतःला ऑटोरनमध्ये जोडण्याचा सर्वात सोपा मार्ग म्हणजे नोंदणीमध्ये नोंदणी करणे. सिक्युरिटी लॉग हे करू शकतो, परंतु Sysmon हे बदल कोणी, केव्हा, कुठून, प्रोसेस आयडी आणि मागील की व्हॅल्यू केले हे दाखवते.

फाइल निर्मिती (इव्हेंट आयडी 11). सिस्मॉन, सिक्युरिटी लॉगच्या विपरीत, केवळ फाइलचे स्थानच नाही तर त्याचे नाव देखील दर्शवेल. हे स्पष्ट आहे की आपण प्रत्येक गोष्टीचा मागोवा ठेवू शकत नाही, परंतु आपण विशिष्ट निर्देशिकांचे ऑडिट करू शकता.

आणि आता जे सिक्युरिटी लॉग पॉलिसीमध्ये नाही, परंतु सिस्मॉनमध्ये आहे:

फाइल तयार करण्याच्या वेळेत बदल (इव्हेंट आयडी 2). काही मालवेअर नुकत्याच तयार केलेल्या फाइल्सच्या अहवालांपासून लपवण्यासाठी फाइलच्या निर्मितीची तारीख फसवू शकतात.

ड्रायव्हर्स आणि डायनॅमिक लायब्ररी लोड करत आहे (इव्हेंट आयडी 6-7). मेमरीमध्ये डीएलएल आणि डिव्हाइस ड्रायव्हर्सच्या लोडिंगचे निरीक्षण करणे, डिजिटल स्वाक्षरी आणि त्याची वैधता तपासणे.

चालू असलेल्या प्रक्रियेत थ्रेड तयार करा (इव्हेंट आयडी 8). एक प्रकारचा हल्ला ज्यावर लक्ष ठेवणे देखील आवश्यक आहे.

RawAccessRead इव्हेंट (इव्हेंट आयडी 9). "." वापरून डिस्क रीड ऑपरेशन्स. बहुसंख्य प्रकरणांमध्ये, अशी क्रिया असामान्य मानली पाहिजे.

नामांकित फाइल प्रवाह तयार करा (इव्हेंट आयडी 15). फाइलच्या सामग्रीच्या हॅशसह इव्हेंट उत्सर्जित करणारा नामांकित फाइल प्रवाह तयार केल्यावर इव्हेंट लॉग केला जातो.

नामांकित पाईप आणि कनेक्शन तयार करणे (इव्हेंट आयडी 17-18). दुर्भावनापूर्ण कोडचा मागोवा घेणे जे नामित पाईपद्वारे इतर घटकांशी संप्रेषण करते.

WMI क्रियाकलाप (इव्हेंट आयडी 19). WMI प्रोटोकॉलद्वारे सिस्टममध्ये प्रवेश करताना व्युत्पन्न केलेल्या घटनांची नोंदणी.

Sysmon चे स्वतःचे संरक्षण करण्यासाठी, तुम्हाला ID 4 (Sysmon थांबवणे आणि सुरू करणे) आणि ID 16 (Sysmon कॉन्फिगरेशन बदल) सह इव्हेंटचे निरीक्षण करणे आवश्यक आहे.

पॉवर शेल लॉग

पॉवर शेल हे विंडोज इन्फ्रास्ट्रक्चर व्यवस्थापित करण्यासाठी एक शक्तिशाली साधन आहे, त्यामुळे आक्रमणकर्त्याने ते निवडण्याची शक्यता जास्त आहे. पॉवर शेल इव्हेंट डेटा मिळविण्यासाठी तुम्ही दोन स्रोत वापरू शकता: Windows PowerShell लॉग आणि Microsoft-WindowsPowerShell/ऑपरेशनल लॉग.

विंडोज पॉवरशेल लॉग

डेटा प्रदाता लोड केला (इव्हेंट आयडी 600). PowerShell प्रदाता हे असे प्रोग्राम आहेत जे पॉवरशेलला पाहण्यासाठी आणि व्यवस्थापित करण्यासाठी डेटाचा स्रोत प्रदान करतात. उदाहरणार्थ, अंगभूत प्रदाते Windows पर्यावरण व्हेरिएबल्स किंवा सिस्टम रेजिस्ट्री असू शकतात. वेळेत दुर्भावनापूर्ण क्रियाकलाप शोधण्यासाठी नवीन पुरवठादारांच्या उदयाचे निरीक्षण करणे आवश्यक आहे. उदाहरणार्थ, जर तुम्हाला प्रदात्यांमध्ये WSMan दिसत असेल, तर रिमोट पॉवरशेल सेशन सुरू झाले आहे.

Microsoft-WindowsPowerShell / ऑपरेशनल लॉग (किंवा MicrosoftWindows-PowerShellCore / PowerShell 6 मध्ये ऑपरेशनल)

मॉड्यूल लॉगिंग (इव्हेंट आयडी 4103). इव्हेंट्स प्रत्येक कार्यान्वित केलेल्या कमांडबद्दल आणि ज्या पॅरामीटर्ससह कॉल केले होते त्याबद्दल माहिती संग्रहित करतात.

स्क्रिप्ट ब्लॉकिंग लॉगिंग (इव्हेंट आयडी 4104). स्क्रिप्ट ब्लॉकिंग लॉगिंग कार्यान्वित केलेला पॉवरशेल कोडचा प्रत्येक ब्लॉक दाखवते. आक्रमणकर्त्याने कमांड लपवण्याचा प्रयत्न केला तरीही, हा इव्हेंट प्रकार पॉवरशेल कमांड दर्शवेल जी प्रत्यक्षात अंमलात आणली गेली होती. हा इव्हेंट प्रकार काही निम्न-स्तरीय API कॉल देखील लॉग करू शकतो, हे इव्हेंट सहसा व्हर्बोज म्हणून रेकॉर्ड केले जातात, परंतु कोडच्या ब्लॉकमध्ये संशयास्पद कमांड किंवा स्क्रिप्ट वापरल्यास, ते चेतावणी तीव्रता म्हणून लॉग केले जाईल.

कृपया लक्षात घ्या की एकदा या इव्हेंट्सचे संकलन आणि विश्लेषण करण्यासाठी टूल कॉन्फिगर केल्यावर, चुकीच्या पॉझिटिव्हची संख्या कमी करण्यासाठी अतिरिक्त डीबगिंग वेळ लागेल.

माहिती सुरक्षा ऑडिटसाठी तुम्ही कोणते लॉग गोळा करता आणि यासाठी तुम्ही कोणती साधने वापरता ते टिप्पण्यांमध्ये आम्हाला सांगा. आमच्या फोकस क्षेत्रांपैकी एक म्हणजे माहिती सुरक्षा इव्हेंटचे ऑडिट करण्यासाठी उपाय. नोंदी गोळा करणे आणि त्यांचे विश्लेषण करणे या समस्येचे निराकरण करण्यासाठी, आम्ही जवळून पाहण्याची शिफारस करू शकतो क्वेस्ट इंट्रस्ट, जे 20:1 च्या गुणोत्तरासह संग्रहित डेटा संकुचित करू शकते आणि त्यातील एक स्थापित उदाहरण 60000 स्त्रोतांमधून प्रति सेकंद 10000 इव्हेंट्सवर प्रक्रिया करण्यास सक्षम आहे.

स्त्रोत: www.habr.com