सिस्मन थ्रेट अॅनालिसिस गाइड, भाग १

हा लेख सिस्मॉन धोक्याच्या विश्लेषणावरील मालिकेचा पहिला भाग आहे. मालिकेतील इतर सर्व भाग:

भाग 1: सिस्मन लॉग विश्लेषणाचा परिचय (आम्ही इथे आहोत)
भाग २: धमक्या ओळखण्यासाठी सिस्मॉन इव्हेंट डेटा वापरणे
भाग 3. आलेख वापरून सिस्मॉन धोक्यांचे सखोल विश्लेषण

जर तुम्ही माहिती सुरक्षिततेमध्ये काम करत असाल, तर तुम्हाला बहुधा चालू असलेले हल्ले समजून घ्यावे लागतील. तुमच्याकडे आधीच प्रशिक्षित डोळा असल्यास, तुम्ही “कच्चे” प्रक्रिया न केलेल्या नोंदींमध्ये नॉन-स्टँडर्ड क्रियाकलाप शोधू शकता - म्हणा, पॉवरशेल स्क्रिप्ट चालू आहे डाउनलोडस्ट्रिंग कमांडसह किंवा वर्ड फाइल असल्याचे भासवणारी VBS स्क्रिप्ट - फक्त Windows इव्हेंट लॉगमधील नवीनतम क्रियाकलाप स्क्रोल करणे. पण ही खरोखरच मोठी डोकेदुखी आहे. सुदैवाने, मायक्रोसॉफ्टने सिस्मॉन तयार केले, जे आक्रमण विश्लेषण खूप सोपे करते.

Sysmon लॉगमध्ये दाखवलेल्या धमक्यांमागील मूलभूत कल्पना समजून घ्यायच्या आहेत? आमचे मार्गदर्शक डाउनलोड करा हेरगिरीचे साधन म्हणून WMI इव्हेंट आणि तुमच्या लक्षात येईल की आतले लोक इतर कर्मचार्‍यांचे कसे गुप्तपणे निरीक्षण करू शकतात. विंडोज इव्हेंट लॉगसह कार्य करताना मुख्य समस्या म्हणजे पालक प्रक्रियांबद्दल माहितीची कमतरता, म्हणजे. त्यातून प्रक्रियांची श्रेणीक्रम समजणे अशक्य आहे. दुसरीकडे, Sysmon लॉग एंट्रीमध्ये, मूळ प्रक्रिया आयडी, त्याचे नाव आणि लाँच होणारी कमांड लाइन असते. धन्यवाद, मायक्रोसॉफ्ट.

आमच्या मालिकेच्या पहिल्या भागात, आम्ही Sysmon कडील मूलभूत माहितीसह तुम्ही काय करू शकता ते पाहू. भाग २ मध्ये, धमकी आलेख म्हणून ओळखल्या जाणार्‍या अधिक जटिल अनुपालन संरचना तयार करण्यासाठी आम्ही पालक प्रक्रियेच्या माहितीचा पूर्ण फायदा घेऊ. तिसऱ्या भागात, आम्ही ग्राफच्या "वजन" चे विश्लेषण करून असामान्य क्रियाकलाप शोधण्यासाठी धोक्याचा आलेख स्कॅन करणारा एक साधा अल्गोरिदम पाहू. आणि शेवटी, तुम्हाला एक व्यवस्थित (आणि समजण्यायोग्य) संभाव्य धोका शोधण्याच्या पद्धतीसह पुरस्कृत केले जाईल.

भाग 1: सिस्मन लॉग विश्लेषणाचा परिचय

इव्हेंट लॉगची गुंतागुंत समजून घेण्यास काय मदत करू शकते? शेवटी - SIEM. हे घटनांचे सामान्यीकरण करते आणि त्यांचे त्यानंतरचे विश्लेषण सुलभ करते. पण आपल्याला तितके दूर जाण्याची गरज नाही, निदान आधी तरी नाही. सुरुवातीला, SIEM ची तत्त्वे समजून घेण्यासाठी, अद्भुत विनामूल्य Sysmon उपयुक्तता वापरून पाहणे पुरेसे आहे. आणि तिच्यासोबत काम करणे आश्चर्यकारकपणे सोपे आहे. हे चालू ठेवा, मायक्रोसॉफ्ट!

सिस्मनमध्ये कोणती वैशिष्ट्ये आहेत?

थोडक्यात - प्रक्रियेबद्दल उपयुक्त आणि वाचनीय माहिती (खालील चित्रे पहा). तुम्हाला अनेक उपयुक्त तपशील सापडतील जे Windows इव्हेंट लॉगमध्ये नाहीत, परंतु सर्वात महत्वाचे खालील फील्ड आहेत:

• प्रक्रिया आयडी (दशांश मध्ये, हेक्स नाही!)
• पालक प्रक्रिया आयडी
• कमांड लाइन प्रक्रिया करा
• पालक प्रक्रियेची कमांड लाइन
• फाइल इमेज हॅश
• फाइल प्रतिमा नावे

सिस्मॉन डिव्हाइस ड्रायव्हर आणि सेवा म्हणून स्थापित केले आहे - अधिक तपशील येथे. त्याचा मुख्य फायदा म्हणजे लॉगचे विश्लेषण करण्याची क्षमता अनेक स्त्रोत, माहितीचा सहसंबंध आणि परिणामी मूल्यांचे आउटपुट मार्गावर असलेल्या एका इव्हेंट लॉग फोल्डरमध्ये मायक्रोसॉफ्ट -> विंडोज -> सिस्मन -> ऑपरेशनल. माझ्या स्वत:च्या विंडोज लॉगमधील केस वाढवण्याच्या तपासात, मला असे आढळले की, पॉवरशेल लॉग फोल्डर आणि सिक्युरिटी फोल्डर यांच्यात सतत स्विच करावे लागते, या दोन्हीमधील मूल्ये एकमेकांशी जोडण्याच्या शूर प्रयत्नात इव्हेंट लॉगमधून फ्लिक करत होते. . हे कधीच सोपे काम नाही, आणि मला नंतर समजले की, ताबडतोब ऍस्पिरिनचा साठा करणे चांगले होते.

अंतर्निहित प्रक्रिया समजून घेण्यात मदत करण्यासाठी उपयुक्त (किंवा विक्रेते म्हणू इच्छितात, कृती करण्यायोग्य) माहिती प्रदान करून Sysmon एक क्वांटम झेप घेते. उदाहरणार्थ, मी एक गुप्त सत्र सुरू केले wmiexec, नेटवर्कमधील स्मार्ट इनसाइडरच्या हालचालीचे अनुकरण करणे. विंडोज इव्हेंट लॉगमध्ये तुम्हाला हे दिसेल:

विंडोज लॉग प्रक्रियेबद्दल काही माहिती दर्शवितो, परंतु त्याचा फारसा उपयोग होत नाही. प्लस प्रोसेस आयडी हेक्साडेसिमलमध्ये???

हॅकिंगची मूलभूत माहिती असलेल्या व्यावसायिक आयटी व्यावसायिकांसाठी, कमांड लाइन संशयास्पद असावी. cmd.exe चा वापर करून नंतर दुसरी कमांड चालवणे आणि आउटपुटला विचित्र नाव असलेल्या फाईलवर पुनर्निर्देशित करणे हे स्पष्टपणे मॉनिटरिंग आणि कंट्रोल सॉफ्टवेअरच्या क्रियांसारखेच आहे. आदेश आणि नियंत्रण (C2): अशा प्रकारे, WMI सेवा वापरून एक छद्म-शेल तयार केला जातो.
आता सिस्मॉन एंट्री समतुल्यकडे एक नजर टाकूया, ते आम्हाला किती अतिरिक्त माहिती देते हे लक्षात घेऊन:

एका स्क्रीनशॉटमध्ये Sysmon वैशिष्ट्ये: वाचनीय स्वरूपात प्रक्रियेबद्दल तपशीलवार माहिती

तुम्हाला फक्त कमांड लाइनच दिसत नाही, तर फाइलचे नाव, एक्झिक्युटेबल अॅप्लिकेशनचा मार्ग, विंडोजला त्याबद्दल काय माहिती आहे (“विंडोज कमांड प्रोसेसर”), आयडेंटिफायर. पालक प्रक्रिया, कमांड लाइन पालक, ज्याने cmd शेल, तसेच मूळ प्रक्रियेचे खरे फाइल नाव लाँच केले. सर्व काही एकाच ठिकाणी, शेवटी!
सिस्मॉन लॉगवरून आपण असा निष्कर्ष काढू शकतो की उच्च संभाव्यतेसह ही संशयास्पद कमांड लाइन जी आम्ही "कच्च्या" लॉगमध्ये पाहिली आहे ती कर्मचार्‍यांच्या सामान्य कार्याचा परिणाम नाही. याउलट, हे C2-सारखी प्रक्रियेद्वारे व्युत्पन्न केले गेले होते - wmiexec, मी आधी सांगितल्याप्रमाणे - आणि थेट WMI सेवा प्रक्रियेद्वारे (WmiPrvSe) तयार केले गेले. आता आमच्याकडे एक सूचक आहे की दूरस्थ हल्लेखोर किंवा आंतरिक कॉर्पोरेट पायाभूत सुविधांची चाचणी घेत आहे.

गेट-सिस्मोनलॉग्स सादर करत आहे

Sysmon लॉग एकाच ठिकाणी ठेवते तेव्हा नक्कीच ते छान आहे. परंतु आपण वैयक्तिक लॉग फील्डमध्ये प्रोग्रामॅटिकरित्या प्रवेश करू शकलो तर कदाचित अधिक चांगले होईल - उदाहरणार्थ, पॉवरशेल कमांडद्वारे. या प्रकरणात, तुम्ही एक लहान पॉवरशेल स्क्रिप्ट लिहू शकता जी संभाव्य धोक्यांसाठी शोध स्वयंचलित करेल!
अशी कल्पना असणारा मी पहिला नव्हतो. आणि हे चांगले आहे की काही फोरम पोस्ट आणि GitHub मध्ये प्रकल्प सिस्मन लॉगचे विश्लेषण करण्यासाठी पॉवरशेल कसे वापरायचे ते आधीच स्पष्ट केले आहे. माझ्या बाबतीत, मला प्रत्येक सिस्मन फील्डसाठी पार्सिंग स्क्रिप्टच्या स्वतंत्र ओळी लिहिणे टाळायचे होते. म्हणून मी आळशी मनुष्य तत्त्व वापरले आणि मला वाटते की परिणामी मी काहीतरी मनोरंजक घेऊन आलो आहे.
पहिला महत्त्वाचा मुद्दा म्हणजे संघाची क्षमता गेट-विन इव्हेंट Sysmon लॉग वाचा, आवश्यक इव्हेंट फिल्टर करा आणि परिणाम PS व्हेरिएबलमध्ये आउटपुट करा, जसे की येथे:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

$इव्हेंट अ‍ॅरे, $इव्हेंट्स[0].संदेशाच्या पहिल्या घटकामध्ये सामग्री प्रदर्शित करून, तुम्ही कमांडची स्वतः चाचणी करू इच्छित असल्यास, आउटपुट अगदी सोप्या फॉरमॅटसह मजकूर स्ट्रिंगची मालिका असू शकते: नाव Sysmon फील्ड, एक कोलन, आणि नंतर मूल्य स्वतः.

हुर्रे! JSON-तयार फॉरमॅटमध्ये Sysmon लॉग आउटपुट करत आहे

तू माझ्यासारखाच विचार करतोस का? थोडे अधिक प्रयत्न करून, तुम्ही आउटपुटला JSON स्वरूपित स्ट्रिंगमध्ये रूपांतरित करू शकता आणि नंतर शक्तिशाली कमांड वापरून ते थेट PS ऑब्जेक्टमध्ये लोड करू शकता. ConvertFrom-Json .
मी रूपांतरणासाठी पॉवरशेल कोड दाखवेन - ते अगदी सोपे आहे - पुढील भागात. आत्तासाठी, मी PS मॉड्यूल म्हणून स्थापित केलेली get-sysmonlogs नावाची नवीन कमांड काय करू शकते ते पाहू.
गैरसोयीच्या इव्हेंट लॉग इंटरफेसद्वारे सिस्मॉन लॉग विश्लेषणामध्ये खोलवर जाण्याऐवजी, आम्ही पॉवरशेल सत्रातून थेट वाढीव क्रियाकलाप शोधू शकतो, तसेच PS कमांड वापरू शकतो. जेथे (उर्फ – “?”) शोध परिणाम लहान करण्यासाठी:

WMI द्वारे लॉन्च केलेल्या cmd शेलची यादी. आमच्या स्वतःच्या Get-Sysmonlogs टीमसह स्वस्तात धोका विश्लेषण

अप्रतिम! मी Sysmon लॉगचे मतदान करण्यासाठी एक साधन तयार केले जसे की ते डेटाबेस आहे. बद्दल आमच्या लेखात IQ हे लक्षात आले की हे कार्य त्यात वर्णन केलेल्या छान युटिलिटीद्वारे केले जाईल, जरी औपचारिकपणे अद्याप वास्तविक एसक्यूएल सारख्या इंटरफेसद्वारे. होय, EQL मोहक, परंतु आपण तिसऱ्या भागात त्यावर स्पर्श करू.

सिस्मन आणि आलेख विश्लेषण

चला मागे पाऊल टाकू आणि आपण नुकतेच काय तयार केले याचा विचार करूया. मूलत:, आमच्याकडे आता पॉवरशेलद्वारे प्रवेशयोग्य विंडोज इव्हेंट डेटाबेस आहे. मी आधी म्हटल्याप्रमाणे, रेकॉर्ड्समध्ये कनेक्शन किंवा संबंध आहेत - ParentProcessId द्वारे - त्यामुळे प्रक्रियांची संपूर्ण पदानुक्रम प्राप्त केली जाऊ शकते.

जर तुम्ही मालिका वाचली असेल "द अ‍ॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर" तुम्हाला माहित आहे की हॅकर्सना जटिल मल्टी-स्टेज हल्ले तयार करणे आवडते, ज्यामध्ये प्रत्येक प्रक्रिया स्वतःची छोटी भूमिका बजावते आणि पुढील चरणासाठी स्प्रिंगबोर्ड तयार करते. अशा गोष्टी फक्त "कच्च्या" लॉगमधून पकडणे अत्यंत कठीण आहे.
परंतु माझ्या Get-Sysmonlogs कमांड आणि अतिरिक्त डेटा स्ट्रक्चरसह आम्ही नंतर मजकूर (एक आलेख, अर्थातच) मध्ये पाहू, आमच्याकडे धोके शोधण्याचा एक व्यावहारिक मार्ग आहे - ज्यासाठी फक्त योग्य शिरोबिंदू शोध करणे आवश्यक आहे.
आमच्या DYI ब्लॉग प्रकल्पांप्रमाणे नेहमीप्रमाणे, तुम्ही धमक्यांच्या तपशीलांचे छोट्या प्रमाणावर विश्लेषण करण्यासाठी जितके अधिक कार्य कराल, तितकेच तुमच्या लक्षात येईल की एंटरप्राइझ स्तरावर धोका शोधणे किती गुंतागुंतीचे आहे. आणि ही जाणीव अत्यंत आहे महत्वाचा मुद्दा.

लेखाच्या दुसर्‍या भागात आम्ही पहिल्या मनोरंजक गुंतागुंतांचा सामना करू, जिथे आम्ही सिस्मॉन इव्हेंट्स एकमेकांशी अधिक जटिल संरचनांमध्ये जोडण्यास सुरवात करू.

स्त्रोत: www.habr.com