आम्ही Windows मध्ये संशयास्पद प्रक्रिया सुरू करण्याबद्दलच्या घटनांचा संग्रह सक्षम करतो आणि क्वेस्ट इनट्रस्ट वापरून धोके ओळखतो

हल्ल्यांच्या सर्वात सामान्य प्रकारांपैकी एक म्हणजे पूर्णपणे आदरणीय प्रक्रियेच्या अंतर्गत झाडामध्ये दुर्भावनापूर्ण प्रक्रियेचा जन्म. एक्झिक्युटेबल फाइलचा मार्ग संशयास्पद असू शकतो: मालवेअर अनेकदा AppData किंवा Temp फोल्डर वापरतो आणि हे कायदेशीर प्रोग्रामसाठी वैशिष्ट्यपूर्ण नाही. प्रामाणिकपणे, हे सांगण्यासारखे आहे की काही स्वयंचलित अद्यतन उपयुक्तता AppData मध्ये कार्यान्वित केल्या जातात, म्हणून प्रोग्राम दुर्भावनापूर्ण असल्याची पुष्टी करण्यासाठी केवळ लॉन्च स्थान तपासणे पुरेसे नाही.

वैधतेचा एक अतिरिक्त घटक म्हणजे क्रिप्टोग्राफिक स्वाक्षरी: अनेक मूळ कार्यक्रम विक्रेत्याद्वारे स्वाक्षरी केलेले असतात. संशयास्पद स्टार्टअप आयटम ओळखण्यासाठी एक पद्धत म्हणून स्वाक्षरी नाही हे तथ्य आपण वापरू शकता. पण नंतर पुन्हा एक मालवेअर आहे जो चोरीला गेलेले प्रमाणपत्र स्वतःवर स्वाक्षरी करण्यासाठी वापरतो.

तुम्ही MD5 किंवा SHA256 क्रिप्टोग्राफिक हॅशचे मूल्य देखील तपासू शकता, जे काही पूर्वी आढळलेल्या मालवेअरशी संबंधित असू शकतात. तुम्ही प्रोग्राममधील स्वाक्षरी पाहून (यारा नियम किंवा अँटीव्हायरस उत्पादने वापरून) स्थिर विश्लेषण करू शकता. डायनॅमिक अॅनालिसिस (काही सुरक्षित वातावरणात प्रोग्राम चालवणे आणि त्याच्या कृतींचे निरीक्षण करणे) आणि उलट अभियांत्रिकी देखील आहे.

दुर्भावनापूर्ण प्रक्रियेची अनेक चिन्हे असू शकतात. या लेखात आम्ही तुम्हाला विंडोजमधील संबंधित इव्हेंटचे ऑडिट कसे सक्षम करायचे ते सांगू, आम्ही अंगभूत नियम ज्या चिन्हांवर अवलंबून आहे त्याचे विश्लेषण करू. InTrust एक संशयास्पद प्रक्रिया ओळखण्यासाठी. InTrust आहे CLM प्लॅटफॉर्म संकलित, विश्लेषण आणि संरचित डेटा संग्रहित करण्यासाठी, ज्यात आधीच विविध प्रकारच्या हल्ल्यांसाठी शेकडो पूर्वनिर्धारित प्रतिक्रिया आहेत.

जेव्हा प्रोग्राम लॉन्च केला जातो, तेव्हा तो संगणकाच्या मेमरीमध्ये लोड केला जातो. एक्झिक्युटेबल फाइलमध्ये कॉम्प्युटर सूचना आणि सपोर्टिंग लायब्ररी असतात (उदाहरणार्थ, *.dll). जेव्हा एखादी प्रक्रिया आधीच चालू असते, तेव्हा ती अतिरिक्त थ्रेड तयार करू शकते. थ्रेड्स एका प्रक्रियेस एकाच वेळी वेगवेगळ्या सूचनांचे संच कार्यान्वित करण्याची परवानगी देतात. दुर्भावनायुक्त कोड मेमरीमध्ये प्रवेश करण्यासाठी आणि चालवण्याचे अनेक मार्ग आहेत, चला त्यापैकी काही पाहू.

दुर्भावनापूर्ण प्रक्रिया लाँच करण्याचा सर्वात सोपा मार्ग म्हणजे वापरकर्त्याला ती थेट लाँच करण्यास भाग पाडणे (उदाहरणार्थ, ईमेल संलग्नकातून), नंतर संगणक चालू असताना प्रत्येक वेळी लॉन्च करण्यासाठी RunOnce की वापरा. यामध्ये "फाइलेस" मालवेअर देखील समाविष्ट आहे जे पॉवरशेल स्क्रिप्ट्स रेजिस्ट्री की मध्ये संग्रहित करते जे ट्रिगरवर आधारित कार्यान्वित केले जातात. या प्रकरणात, पॉवरशेल स्क्रिप्ट दुर्भावनायुक्त कोड आहे.

मालवेअर स्पष्टपणे चालू असण्‍याची समस्या ही आहे की हा एक ज्ञात दृष्टीकोन आहे जो सहज शोधला जातो. काही मालवेअर अधिक चतुर गोष्टी करतात, जसे की मेमरीमध्ये कार्यान्वित करणे सुरू करण्यासाठी दुसरी प्रक्रिया वापरणे. म्हणून, एखादी प्रक्रिया विशिष्ट संगणक सूचना चालवून आणि चालविण्यासाठी एक एक्झिक्यूटेबल फाइल (.exe) निर्दिष्ट करून दुसरी प्रक्रिया तयार करू शकते.

फाइल पूर्ण पथ (उदाहरणार्थ, C:Windowssystem32cmd.exe) किंवा आंशिक मार्ग (उदाहरणार्थ, cmd.exe) वापरून निर्दिष्ट केली जाऊ शकते. मूळ प्रक्रिया असुरक्षित असल्यास, ते बेकायदेशीर कार्यक्रम चालवण्यास अनुमती देईल. आक्रमण यासारखे दिसू शकते: प्रक्रिया पूर्ण मार्ग निर्दिष्ट न करता cmd.exe लाँच करते, आक्रमणकर्ता त्याचे cmd.exe एका ठिकाणी ठेवतो जेणेकरून प्रक्रिया कायदेशीर मार्गापूर्वी लॉन्च होईल. मालवेअर रन झाल्यावर, तो एक वैध प्रोग्राम (जसे की C:Windowssystem32cmd.exe) लाँच करू शकतो जेणेकरून मूळ प्रोग्राम योग्यरित्या कार्य करत राहील.

मागील हल्ल्याचा एक फरक म्हणजे कायदेशीर प्रक्रियेत डीएलएल इंजेक्शन. जेव्हा एखादी प्रक्रिया सुरू होते, तेव्हा ती लायब्ररी शोधते आणि लोड करते जी तिची कार्यक्षमता वाढवते. DLL इंजेक्शनचा वापर करून, आक्रमणकर्ता कायदेशीर सारख्या नावाची आणि API असलेली दुर्भावनापूर्ण लायब्ररी तयार करतो. प्रोग्राम एक दुर्भावनापूर्ण लायब्ररी लोड करतो, आणि त्या बदल्यात, एक कायदेशीर लायब्ररी लोड करतो आणि आवश्यकतेनुसार, ऑपरेशन्स करण्यासाठी कॉल करतो. दुर्भावनायुक्त लायब्ररी चांगल्या लायब्ररीसाठी प्रॉक्सी म्हणून काम करू लागते.

दुर्भावनायुक्त कोड मेमरीमध्ये ठेवण्याचा दुसरा मार्ग म्हणजे तो आधीपासून चालू असलेल्या असुरक्षित प्रक्रियेमध्ये समाविष्ट करणे. प्रक्रिया विविध स्त्रोतांकडून इनपुट प्राप्त करतात - नेटवर्क किंवा फाइल्समधून वाचन. इनपुट कायदेशीर आहे याची खात्री करण्यासाठी ते सामान्यत: तपासणी करतात. परंतु सूचनांची अंमलबजावणी करताना काही प्रक्रियांना योग्य संरक्षण नसते. या हल्ल्यात, दुर्भावनायुक्त कोड असलेली डिस्क किंवा एक्झिक्युटेबल फाइलवर कोणतीही लायब्ररी नाही. सर्व काही स्मृतीमध्ये संग्रहित केले जाते आणि प्रक्रियेसह शोषण केले जाते.

आता विंडोजमध्ये अशा घटनांचे संकलन सक्षम करण्याची पद्धत आणि अशा धोक्यांपासून संरक्षण लागू करणारा InTrust मधील नियम पाहू. प्रथम, ते InTrust व्यवस्थापन कन्सोलद्वारे सक्रिय करूया.

नियम Windows OS ची प्रक्रिया ट्रॅकिंग क्षमता वापरतो. दुर्दैवाने, अशा घटनांचे संकलन सक्षम करणे स्पष्ट नाही. तुम्हाला 3 भिन्न गट धोरण सेटिंग्ज बदलण्याची आवश्यकता आहे:

संगणक कॉन्फिगरेशन > धोरणे > विंडोज सेटिंग्ज > सुरक्षा सेटिंग्ज > स्थानिक धोरणे > ऑडिट धोरण > ऑडिट प्रक्रिया ट्रॅकिंग

संगणक कॉन्फिगरेशन > धोरणे > विंडोज सेटिंग्ज > सुरक्षा सेटिंग्ज > प्रगत ऑडिट धोरण कॉन्फिगरेशन > ऑडिट धोरणे > तपशीलवार ट्रॅकिंग > ऑडिट प्रक्रिया निर्मिती

संगणक कॉन्फिगरेशन > धोरणे > प्रशासकीय टेम्पलेट > प्रणाली > ऑडिट प्रक्रिया निर्मिती > प्रक्रिया निर्मिती इव्हेंटमध्ये कमांड लाइन समाविष्ट करा

एकदा सक्षम केल्यावर, InTrust नियम तुम्हाला संशयास्पद वर्तन प्रदर्शित करणारे पूर्वीचे अज्ञात धोके शोधण्याची परवानगी देतात. उदाहरणार्थ, आपण ओळखू शकता येथे वर्णन केले आहे Dridex मालवेअर. एचपी ब्रोमियम प्रकल्पाबद्दल धन्यवाद, आम्हाला माहित आहे की हा धोका कसा कार्य करतो.

त्याच्या क्रियांच्या साखळीमध्ये, ड्राइडेक्स शेड्यूल केलेले कार्य तयार करण्यासाठी schtasks.exe वापरते. कमांड लाइनवरून ही विशिष्ट उपयुक्तता वापरणे अत्यंत संशयास्पद वर्तन मानले जाते; वापरकर्त्याच्या फोल्डर्सकडे निर्देश करणार्‍या पॅरामीटर्ससह किंवा “नेट व्ह्यू” किंवा “व्होआमी” कमांड सारख्या पॅरामीटर्ससह svchost.exe लाँच करणे सारखे दिसते. येथे संबंधित एक तुकडा आहे सिग्मा नियम:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust मध्ये, सर्व संशयास्पद वर्तन एका नियमात समाविष्ट केले आहे, कारण यापैकी बहुतेक क्रिया एखाद्या विशिष्ट धोक्यासाठी विशिष्ट नसतात, परंतु एखाद्या कॉम्प्लेक्समध्ये संशयास्पद असतात आणि 99% प्रकरणांमध्ये पूर्णपणे उदात्त हेतूंसाठी वापरल्या जातात. क्रियांच्या या सूचीमध्ये समाविष्ट आहे, परंतु इतकेच मर्यादित नाही:

• वापरकर्त्याच्या तात्पुरत्या फोल्डरसारख्या असामान्य स्थानांवरून चालणाऱ्या प्रक्रिया.
• संशयास्पद वारशासह सुप्रसिद्ध सिस्टम प्रक्रिया - काही धोके सापडले नाहीत म्हणून सिस्टम प्रक्रियेचे नाव वापरण्याचा प्रयत्न करू शकतात.
• cmd किंवा PsExec सारख्या प्रशासकीय साधनांची संशयास्पद अंमलबजावणी जेव्हा ते स्थानिक सिस्टम क्रेडेन्शियल्स किंवा संशयास्पद वारसा वापरतात.
• सिस्टम कूटबद्ध करण्यापूर्वी संशयास्पद सावली कॉपी ऑपरेशन्स हे रॅन्समवेअर व्हायरसचे सामान्य वर्तन आहे; ते बॅकअप नष्ट करतात:

  - vssadmin.exe द्वारे;
  - WMI द्वारे.

• संपूर्ण रेजिस्ट्री पोळ्यांचे डंप नोंदवा.
• at.exe सारख्या कमांडचा वापर करून दूरस्थपणे प्रक्रिया सुरू केल्यावर दुर्भावनायुक्त कोडची क्षैतिज हालचाल.
• net.exe वापरून संशयास्पद स्थानिक गट ऑपरेशन्स आणि डोमेन ऑपरेशन्स.
• netsh.exe वापरून संशयास्पद फायरवॉल क्रियाकलाप.
• ACL च्या संशयास्पद हाताळणी.
• डेटा एक्सफिल्टेशनसाठी BITS वापरणे.
• WMI सह संशयास्पद हाताळणी.
• संशयास्पद स्क्रिप्ट आदेश.
• सुरक्षित सिस्टम फाइल्स डंप करण्याचा प्रयत्न.

RUYK, LockerGoga आणि इतर रॅन्समवेअर, मालवेअर आणि सायबर क्राइम टूलकिट यांसारख्या धोक्यांना शोधण्यासाठी एकत्रित नियम खूप चांगले काम करतो. विक्रेत्याने उत्पादन वातावरणात खोट्या सकारात्मक गोष्टी कमी करण्यासाठी नियमाची चाचणी केली आहे. आणि सिग्मा प्रकल्पाबद्दल धन्यवाद, यापैकी बहुतेक निर्देशक कमीत कमी आवाजाच्या घटना तयार करतात.

कारण InTrust मध्ये हा एक मॉनिटरिंग नियम आहे, तुम्ही धमकीची प्रतिक्रिया म्हणून प्रतिसाद स्क्रिप्ट कार्यान्वित करू शकता. तुम्ही अंगभूत स्क्रिप्टपैकी एक वापरू शकता किंवा तुमची स्वतःची तयार करू शकता आणि InTrust स्वयंचलितपणे ते वितरित करेल.

याव्यतिरिक्त, तुम्ही सर्व इव्हेंट-संबंधित टेलिमेट्रीची तपासणी करू शकता: पॉवरशेल स्क्रिप्ट्स, प्रक्रिया अंमलबजावणी, शेड्यूल्ड टास्क मॅनिप्युलेशन, WMI प्रशासकीय क्रियाकलाप आणि सुरक्षा घटनांदरम्यान पोस्टमॉर्टेमसाठी त्यांचा वापर करा.

InTrust चे इतर शेकडो नियम आहेत, त्यापैकी काही:

• पॉवरशेल डाउनग्रेड हल्ला शोधणे म्हणजे पॉवरशेलची जुनी आवृत्ती कोणीतरी जाणूनबुजून वापरते कारण... जुन्या आवृत्तीमध्ये काय घडत आहे याचे ऑडिट करण्याचा कोणताही मार्ग नव्हता.
• उच्च-विशेषाधिकार लॉगऑन डिटेक्शन म्हणजे जेव्हा विशिष्ट विशेषाधिकार गटाचे सदस्य असलेली खाती (जसे की डोमेन प्रशासक) अपघाताने किंवा सुरक्षा घटनांमुळे वर्कस्टेशनवर लॉग ऑन होतात.

InTrust तुम्हाला पूर्वनिर्धारित शोध आणि प्रतिक्रिया नियमांच्या स्वरूपात सर्वोत्तम सुरक्षा पद्धती वापरण्याची परवानगी देते. आणि जर तुम्हाला वाटत असेल की काहीतरी वेगळ्या पद्धतीने कार्य केले पाहिजे, तर तुम्ही नियमाची स्वतःची प्रत बनवू शकता आणि आवश्यकतेनुसार कॉन्फिगर करू शकता. तुम्ही पायलट आयोजित करण्यासाठी किंवा तात्पुरत्या परवान्यांसह वितरण किट मिळविण्यासाठी अर्ज सबमिट करू शकता अभिप्राय फॉर्म आमच्या वेबसाइटवर.

आमच्या सदस्यता घ्या फेसबुक पेज, आम्ही तेथे लहान नोट्स आणि मनोरंजक दुवे प्रकाशित करतो.

माहिती सुरक्षिततेवरील आमचे इतर लेख वाचा:

RDP द्वारे अयशस्वी प्राधिकृत प्रयत्नांचे दर कमी करण्यासाठी InTrust कशी मदत करू शकते

आम्हाला ransomware हल्ला आढळतो, डोमेन कंट्रोलरमध्ये प्रवेश मिळवा आणि या हल्ल्यांचा प्रतिकार करण्याचा प्रयत्न करा

विंडोज-आधारित वर्कस्टेशनच्या लॉगमधून कोणत्या उपयुक्त गोष्टी काढल्या जाऊ शकतात? (लोकप्रिय लेख)

पक्कड किंवा डक्ट टेपशिवाय वापरकर्त्यांच्या जीवनचक्राचा मागोवा घेणे

हे कोणी केले? आम्ही माहिती सुरक्षा ऑडिट स्वयंचलित करतो

SIEM प्रणालीच्या मालकीची किंमत कशी कमी करायची आणि तुम्हाला सेंट्रल लॉग मॅनेजमेंट (CLM) का आवश्यक आहे

स्त्रोत: www.habr.com