Windows-आधारित वर्कस्टेशनको लगहरूबाट कुन उपयोगी चीजहरू निकाल्न सकिन्छ?

प्रयोगकर्ता वर्कस्टेशन सूचना सुरक्षाको सन्दर्भमा पूर्वाधारको सबैभन्दा कमजोर बिन्दु हो। प्रयोगकर्ताहरूले आफ्नो कार्य इमेलमा एउटा पत्र प्राप्त गर्न सक्छन् जुन सुरक्षित स्रोतबाट आएको जस्तो देखिन्छ, तर संक्रमित साइटको लिङ्कको साथ। सायद कसैले अज्ञात स्थानबाट कामको लागि उपयोगी उपयोगिता डाउनलोड गर्नेछ। हो, तपाईं दर्जनौं केसहरूसँग आउन सक्नुहुन्छ कसरी मालवेयरले प्रयोगकर्ताहरू मार्फत आन्तरिक कर्पोरेट स्रोतहरू घुसाउन सक्छ। त्यसकारण, कार्यस्थानहरूलाई बढ्दो ध्यान चाहिन्छ, र यस लेखमा हामी तपाईंलाई आक्रमणहरू निगरानी गर्न कहाँ र कुन घटनाहरू लिने भनेर बताउनेछौं।

प्रारम्भिक सम्भावित चरणमा आक्रमण पत्ता लगाउन, विन्डोजसँग तीन उपयोगी घटना स्रोतहरू छन्: सुरक्षा घटना लग, प्रणाली निगरानी लग, र पावर शेल लगहरू।

सुरक्षा घटना लग

यो प्रणाली सुरक्षा लगहरूको लागि मुख्य भण्डारण स्थान हो। यसमा प्रयोगकर्ता लगइन/लगआउटका घटनाहरू, वस्तुहरूमा पहुँच, नीति परिवर्तनहरू र अन्य सुरक्षा-सम्बन्धित गतिविधिहरू समावेश छन्। अवश्य पनि, यदि उपयुक्त नीति कन्फिगर गरिएको छ।

प्रयोगकर्ता र समूहहरूको गणना (घटनाहरू 4798 र 4799)। आक्रमणको शुरुवातमा, मालवेयरले प्रायः स्थानीय प्रयोगकर्ता खाताहरू र वर्कस्टेशनमा स्थानीय समूहहरू मार्फत यसको छायादार व्यवहारका लागि प्रमाणहरू फेला पार्न खोज्छ। यी घटनाहरूले मालिसियस कोड पत्ता लगाउन मद्दत गर्दछ यो अघि बढ्नु अघि र, सङ्कलन डाटा प्रयोग गरेर, अन्य प्रणालीहरूमा फैलिन्छ।

स्थानीय खाताको सिर्जना र स्थानीय समूहहरूमा परिवर्तनहरू (घटनाक्रम ४७२०, ४७२२–४७२६, ४७३८, ४७४०, ४७६७, ४७८०, ४७८१, ४७९४, ५३७६ र ५३७७)। आक्रमण पनि सुरु हुन सक्छ, उदाहरणका लागि, स्थानीय प्रशासक समूहमा नयाँ प्रयोगकर्ता थपेर।

स्थानीय खाता (घटना 4624) को साथ लगइन प्रयासहरू। आदरणीय प्रयोगकर्ताहरू डोमेन खाताको साथ लग इन गर्नुहोस्, र स्थानीय खाता अन्तर्गत लगइन पहिचान गर्नाले आक्रमणको सुरुवात हुन सक्छ। घटना 4624 ले डोमेन खाता अन्तर्गत लगइनहरू पनि समावेश गर्दछ, त्यसैले घटनाहरू प्रशोधन गर्दा, तपाईंले घटनाहरू फिल्टर गर्न आवश्यक छ जहाँ डोमेन कार्यस्थानको नामबाट फरक छ।

निर्दिष्ट खाता (घटना 4648) संग लग इन गर्ने प्रयास। यो हुन्छ जब प्रक्रिया "चलाउनुहोस्" मोडमा चलिरहेको छ। यो प्रणालीको सामान्य सञ्चालनको समयमा हुनु हुँदैन, त्यसैले यस्ता घटनाहरू नियन्त्रण गर्नुपर्छ।

कार्यस्थान लक/अनलक गर्दै (घटनाक्रम ४८००-४८०३)। संदिग्ध घटनाहरूको श्रेणीले लक गरिएको कार्यस्थानमा भएका कुनै पनि कार्यहरू समावेश गर्दछ।

फायरवाल कन्फिगरेसन परिवर्तनहरू (घटनाहरू 4944-4958)। स्पष्ट रूपमा, नयाँ सफ्टवेयर स्थापना गर्दा, फायरवाल कन्फिगरेसन सेटिङहरू परिवर्तन हुन सक्छ, जसले झूटा सकारात्मकहरू निम्त्याउँछ। धेरैजसो अवस्थामा, त्यस्ता परिवर्तनहरूलाई नियन्त्रण गर्न आवश्यक छैन, तर तिनीहरूको बारेमा जान्न पक्कै पनि चोट लाग्दैन।

प्लगइन प्ले उपकरणहरू जडान गर्दै (घटना 6416 र केवल Windows 10 को लागी)। यदि प्रयोगकर्ताहरूले सामान्यतया कार्यस्थानमा नयाँ उपकरणहरू जडान गर्दैनन् भने, तर अचानक तिनीहरूले गर्छन् भने यसमा नजर राख्नु महत्त्वपूर्ण छ।

विन्डोजले 9 अडिट कोटीहरू र फाइन-ट्युनिङका लागि 50 उपश्रेणीहरू समावेश गर्दछ। सेटिङहरूमा सक्षम गरिनु पर्ने उपश्रेणीहरूको न्यूनतम सेट:

लोगन / लगऑफ

• लग गर;
• लग अफ् गर्नुहोस्;
• खाता लकआउट;
• अन्य लगअन/लगअफ कार्यक्रमहरू।

खाता व्यवस्थापन

• प्रयोगकर्ता खाता व्यवस्थापन;
• सुरक्षा समूह व्यवस्थापन।

नीति परिवर्तन

• अडिट नीति परिवर्तन;
• प्रमाणीकरण नीति परिवर्तन;
• प्राधिकरण नीति परिवर्तन।

प्रणाली मनिटर (Sysmon)

Sysmon Windows मा निर्मित एक उपयोगिता हो जसले प्रणाली लगमा घटनाहरू रेकर्ड गर्न सक्छ। सामान्यतया तपाईंले यसलाई अलग स्थापना गर्न आवश्यक छ।

यी समान घटनाहरू, सैद्धान्तिक रूपमा, सुरक्षा लगमा फेला पार्न सकिन्छ (इच्छित अडिट नीति सक्षम गरेर), तर Sysmon ले थप विवरण प्रदान गर्दछ। Sysmon बाट के घटनाहरू लिन सकिन्छ?

प्रक्रिया सिर्जना (घटना ID 1)। प्रणाली सुरक्षा घटना लगले तपाईंलाई *.exe कहिले सुरु भयो र यसको नाम र सुरुवात मार्ग पनि देखाउन सक्छ। तर Sysmon को विपरीत, यो अनुप्रयोग ह्यास देखाउन सक्षम हुनेछैन। खराब सफ्टवेयरलाई हानिरहित notepad.exe पनि भनिन्छ, तर यो ह्यास हो जसले यसलाई प्रकाशमा ल्याउनेछ।

नेटवर्क जडानहरू (घटना ID 3)। जाहिर छ, त्यहाँ धेरै नेटवर्क जडानहरू छन्, र ती सबैको ट्रयाक राख्न असम्भव छ। तर यो विचार गर्न महत्त्वपूर्ण छ कि Sysmon, सुरक्षा लग विपरीत, ProcessID र ProcessGUID फिल्डहरूमा नेटवर्क जडान बाँध्न सक्छ, र स्रोत र गन्तव्यको पोर्ट र IP ठेगानाहरू देखाउँछ।

प्रणाली रजिस्ट्रीमा परिवर्तनहरू (घटना ID 12-14)। Autorun मा आफूलाई थप्ने सबैभन्दा सजिलो तरिका रजिस्ट्रीमा दर्ता गर्नु हो। सुरक्षा लगले यो गर्न सक्छ, तर Sysmon ले परिवर्तनहरू कसले, कहिले, कहाँबाट, प्रक्रिया ID र अघिल्लो कुञ्जी मान देखाउँछ।

फाइल सिर्जना (घटना ID 11)। Sysmon, सुरक्षा लग विपरीत, फाइलको स्थान मात्र देखाउँदैन, तर यसको नाम पनि। यो स्पष्ट छ कि तपाइँ सबै कुराको ट्रयाक राख्न सक्नुहुन्न, तर तपाइँ निश्चित निर्देशिकाहरू अडिट गर्न सक्नुहुन्छ।

र अब के सुरक्षा लग नीतिहरूमा छैन, तर Sysmon मा छ:

फाइल निर्माण समय परिवर्तन (घटना ID 2)। केही मालवेयरले हालसालै सिर्जना गरिएका फाइलहरूको रिपोर्टबाट यसलाई लुकाउन फाइलको सिर्जना मिति लुकाउन सक्छ।

ड्राइभरहरू र गतिशील पुस्तकालयहरू लोड गर्दै (घटना ID 6-7)। मेमोरीमा DLL हरू र यन्त्र ड्राइभरहरूको लोडिङ निगरानी गर्दै, डिजिटल हस्ताक्षर र यसको वैधता जाँच गर्दै।

चलिरहेको प्रक्रियामा थ्रेड सिर्जना गर्नुहोस् (घटना ID 8)। एक प्रकारको आक्रमण जुन पनि निगरानी गर्न आवश्यक छ।

RawAccessRead घटनाक्रम (घटना ID 9)। "।" प्रयोग गरेर डिस्क पढ्ने अपरेशनहरू। धेरै जसो केसहरूमा, यस्तो गतिविधि असामान्य मानिनुपर्छ।

नामित फाइल स्ट्रिम सिर्जना गर्नुहोस् (घटना ID 15)। एउटा घटना लग इन हुन्छ जब नामित फाइल स्ट्रिम सिर्जना गरिन्छ जसले फाइलको सामग्रीको ह्याससँग घटनाहरू उत्सर्जन गर्दछ।

नामित पाइप र जडान सिर्जना गर्दै (घटना ID 17-18)। नामित पाइप मार्फत अन्य कम्पोनेन्टहरूसँग सञ्चार गर्ने मालिसियस कोड ट्र्याक गर्दै।

WMI गतिविधि (घटना ID 19)। WMI प्रोटोकल मार्फत प्रणाली पहुँच गर्दा उत्पन्न हुने घटनाहरूको दर्ता।

Sysmon आफैलाई सुरक्षित गर्न, तपाईंले ID 4 (Sysmon रोकिने र सुरु गर्ने) र ID 16 (Sysmon कन्फिगरेसन परिवर्तनहरू) सँग घटनाहरू निगरानी गर्न आवश्यक छ।

पावर शेल लगहरू

पावर शेल विन्डोज पूर्वाधार प्रबन्ध गर्नको लागि एक शक्तिशाली उपकरण हो, त्यसैले आक्रमणकर्ताले यसलाई छनौट गर्ने सम्भावना उच्च छ। त्यहाँ दुईवटा स्रोतहरू छन् जुन तपाईंले पावर शेल घटना डेटा प्राप्त गर्न प्रयोग गर्न सक्नुहुन्छ: Windows PowerShell लग र Microsoft-WindowsPowerShell/अपरेसनल लग।

Windows PowerShell लग

डाटा प्रदायक लोड भयो (घटना ID 600)। PowerShell प्रदायकहरू प्रोग्रामहरू हुन् जसले PowerShell लाई हेर्न र व्यवस्थापन गर्न डेटाको स्रोत प्रदान गर्दछ। उदाहरणका लागि, निर्मित प्रदायकहरू Windows वातावरण चर वा प्रणाली रजिस्ट्री हुन सक्छ। समय मा दुर्भावनापूर्ण गतिविधि पत्ता लगाउनको लागि नयाँ आपूर्तिकर्ताहरूको उदयलाई निगरानी गरिनुपर्छ। उदाहरणका लागि, यदि तपाईंले प्रदायकहरू बीच WSMan देखा परेको देख्नुभयो भने, त्यसपछि रिमोट PowerShell सत्र सुरु भएको छ।

Microsoft-WindowsPowerShell / अपरेशनल लग (वा MicrosoftWindows-PowerShellCore / PowerShell 6 मा परिचालन)

मोड्युल लगिङ (घटना ID 4103)। घटनाक्रमहरूले प्रत्येक निष्पादित आदेश र यसलाई बोलाइएको प्यारामिटरहरूको बारेमा जानकारी भण्डार गर्दछ।

स्क्रिप्ट अवरुद्ध लगिङ (घटना ID 4104)। स्क्रिप्ट अवरुद्ध लगिङले PowerShell कोडको कार्यान्वयन गरिएको प्रत्येक ब्लक देखाउँछ। आक्रमणकारीले आदेश लुकाउने प्रयास गरे पनि, यो घटना प्रकारले वास्तवमा कार्यान्वयन भएको PowerShell आदेश देखाउनेछ। यो घटना प्रकारले केही तल्लो-स्तर API कलहरू लगाइन्छ, यी घटनाहरू सामान्यतया Verbose को रूपमा रेकर्ड गरिन्छ, तर यदि कोडको ब्लकमा संदिग्ध आदेश वा स्क्रिप्ट प्रयोग गरिन्छ भने, यो चेतावनी गम्भीरताको रूपमा लग इन हुनेछ।

कृपया ध्यान दिनुहोस् कि यी घटनाहरू सङ्कलन र विश्लेषण गर्न उपकरण कन्फिगर भएपछि, झूटा सकारात्मकहरूको संख्या कम गर्न थप डिबगिङ समय आवश्यक हुनेछ।

हामीलाई टिप्पणीहरूमा भन्नुहोस् कि तपाईंले सूचना सुरक्षा अडिटहरूको लागि कुन लगहरू सङ्कलन गर्नुहुन्छ र तपाईंले यसका लागि कुन उपकरणहरू प्रयोग गर्नुहुन्छ। हाम्रो फोकसको क्षेत्रहरू मध्ये एक सूचना सुरक्षा घटनाहरूको लेखा परीक्षणको लागि समाधान हो। लगहरू सङ्कलन र विश्लेषण गर्ने समस्या समाधान गर्न, हामी यसलाई नजिकबाट हेर्ने सुझाव दिन सक्छौं क्वेस्ट InTrust, जसले 20:1 को अनुपातमा भण्डारण गरिएको डाटा कम्प्रेस गर्न सक्छ, र यसको एक स्थापित उदाहरण 60000 स्रोतहरूबाट प्रति सेकेन्ड 10000 घटनाहरू प्रशोधन गर्न सक्षम छ।

स्रोत: www.habr.com