Sysmon अब क्लिपबोर्ड सामग्री लेख्न सक्छ

Sysmon को संस्करण 12 को रिलीज सेप्टेम्बर 17 मा घोषणा गरिएको थियो Sysinternals पृष्ठ। वास्तवमा, प्रक्रिया मनिटर र ProcDump को नयाँ संस्करणहरू पनि यस दिन जारी गरिएको थियो। यस लेखमा म Sysmon को संस्करण 12 को मुख्य र विवादास्पद नवीनता को बारे मा कुरा गर्नेछु - घटना आईडी 24 संग घटना को प्रकार, जसमा क्लिपबोर्ड संग काम लग इन गरिएको छ।

यस प्रकारको घटनाको जानकारीले शंकास्पद गतिविधि (साथै नयाँ कमजोरीहरू) को निगरानी गर्न नयाँ अवसरहरू खोल्छ। त्यसोभए, तपाइँ बुझ्न सक्नुहुन्छ कि कसले, कहाँ र के वास्तवमा तिनीहरूले प्रतिलिपि गर्न खोजे। कट तल नयाँ घटनाका केही क्षेत्रहरू र प्रयोगका केही केसहरूको विवरण छ।

नयाँ घटनाले निम्न क्षेत्रहरू समावेश गर्दछ:

छवि: प्रक्रिया जसबाट डेटा क्लिपबोर्डमा लेखिएको थियो।
सत्र: सत्र जसमा क्लिपबोर्ड लेखिएको थियो। यो प्रणाली (0) हुन सक्छ
अनलाइन वा टाढा काम गर्दा, आदि।
ग्राहक जानकारी: सत्र प्रयोगकर्ता नाम समावेश गर्दछ र, टाढाको सत्रको अवस्थामा, मूल होस्टनाम र IP ठेगाना, यदि उपलब्ध छ भने।
ह्यासहरू: फाइलको नाम निर्धारण गर्दछ जसमा प्रतिलिपि गरिएको पाठ बचत गरिएको थियो (FileDelete प्रकारका घटनाहरूसँग काम गर्ने समान)।
संग्रहित: स्थिति, क्लिपबोर्डबाट पाठ Sysmon अभिलेख डाइरेक्टरीमा बचत गरिएको छ कि छैन।

अन्तिम दुई क्षेत्रहरू चिन्ताजनक छन्। तथ्य यो हो कि संस्करण 11 बाट Sysmon ले (उपयुक्त सेटिङहरूसँग) यसको संग्रह डाइरेक्टरीमा विभिन्न डेटा बचत गर्न सक्छ। उदाहरणका लागि, घटना ID 23 ले फाइल मेटाउने घटनाहरू लग गर्छ र ती सबैलाई एउटै अभिलेख डाइरेक्टरीमा बचत गर्न सक्छ। CLIP ट्याग क्लिपबोर्डसँग काम गर्ने परिणाम स्वरूप सिर्जना गरिएका फाइलहरूको नाममा थपिएको छ। फाइलहरू आफैंमा क्लिपबोर्डमा प्रतिलिपि गरिएको सटीक डाटा समावेश गर्दछ।

यो बचत गरिएको फाइल जस्तो देखिन्छ

स्थापनाको क्रममा फाइलमा बचत सक्षम पारिएको छ। तपाइँ प्रक्रियाहरूको सेतो सूची सेट गर्न सक्नुहुन्छ जसको लागि पाठ बचत गरिने छैन।

यो उपयुक्त अभिलेख डाइरेक्टरी सेटिङहरूसँग सिस्मोन स्थापना जस्तो देखिन्छ:

यहाँ, मलाई लाग्छ, यो क्लिपबोर्ड प्रयोग गर्ने पासवर्ड प्रबन्धकहरूलाई सम्झन लायक छ। पासवर्ड प्रबन्धकको साथ प्रणालीमा Sysmon हुनुले तपाईंलाई (वा आक्रमणकारी) ती पासवर्डहरू क्याप्चर गर्न अनुमति दिनेछ। तपाईलाई थाहा छ कि कुन प्रक्रियाले प्रतिलिपि गरिएको पाठ आवंटन गरिरहेको छ (र यो सधैं पासवर्ड प्रबन्धक प्रक्रिया होइन, तर केहि svchost), यो अपवाद सेतो सूचीमा थप्न सकिन्छ र बचत गर्न सकिँदैन।

तपाइँलाई थाहा नहुन सक्छ, तर क्लिपबोर्डबाट पाठ रिमोट सर्भर द्वारा कब्जा गरिन्छ जब तपाइँ यसलाई RDP सत्र मोडमा स्विच गर्नुहुन्छ। यदि तपाइँसँग तपाइँको क्लिपबोर्डमा केहि छ र तपाइँ RDP सत्रहरू बीच स्विच गर्नुहुन्छ भने, त्यो जानकारी तपाइँसँग यात्रा गर्नेछ।

क्लिपबोर्ड संग काम गर्न को लागी Sysmon को क्षमताहरु संक्षेप गरौं।

स्थिर:

• RDP मार्फत र स्थानीय रूपमा टाँसिएको पाठको पाठ प्रतिलिपि;
• विभिन्न उपयोगिताहरू/प्रक्रियाहरूद्वारा क्लिपबोर्डबाट डाटा क्याप्चर गर्नुहोस्;
• स्थानीय भर्चुअल मेसिनबाट/मा पाठ प्रतिलिपि/टाँस्नुहोस्, यद्यपि यो पाठ अझै टाँसिएको छैन।

रेकर्ड गरिएको छैन:

• स्थानीय भर्चुअल मेसिनबाट/मा फाइलहरू प्रतिलिपि/टाँस्दै;
• RDP मार्फत फाइलहरू प्रतिलिपि गर्नुहोस्/टाँस्नुहोस्
• तपाईंको क्लिपबोर्डलाई हाइज्याक गर्ने मालवेयरले क्लिपबोर्डमा मात्रै लेख्छ।

यसको अस्पष्टताको बावजुद, यस प्रकारको घटनाले तपाईंलाई आक्रमणकारीको कार्यहरूको एल्गोरिथ्म पुनर्स्थापना गर्न र आक्रमण पछि पोस्ट-मार्टमहरूको गठनको लागि पहिलेको दुर्गम डेटा पहिचान गर्न मद्दत गर्दछ। यदि क्लिपबोर्डमा सामग्री लेखन अझै सक्षम छ भने, अभिलेख डाइरेक्टरीमा प्रत्येक पहुँच रेकर्ड गर्न र सम्भावित खतरनाक व्यक्तिहरूलाई पहिचान गर्न महत्त्वपूर्ण छ (sysmon.exe द्वारा सुरु गरिएको छैन)।

माथि सूचीबद्ध घटनाहरू रेकर्ड गर्न, विश्लेषण गर्न र प्रतिक्रिया दिन, तपाईंले उपकरण प्रयोग गर्न सक्नुहुन्छ InTrust, जसले सबै तीन दृष्टिकोणहरू संयोजन गर्दछ र थप रूपमा, सबै सङ्कलन कच्चा डाटाको प्रभावकारी केन्द्रीकृत भण्डार हो। हामी इन्ट्रस्टमा कच्चा डाटाको प्रशोधन र भण्डारण स्थानान्तरण गरेर तिनीहरूको इजाजतपत्रको लागत कम गर्न लोकप्रिय SIEM प्रणालीहरूसँग यसको एकीकरण कन्फिगर गर्न सक्छौं।

InTrust बारे थप जान्नको लागि, हाम्रो अघिल्लो लेख वा पढ्नुहोस् प्रतिक्रिया फारममा अनुरोध छोड्नुहोस्.

SIEM प्रणालीको स्वामित्वको लागत कसरी घटाउने र किन तपाईंलाई केन्द्रीय लग व्यवस्थापन (CLM) चाहिन्छ।

हामी विन्डोजमा संदिग्ध प्रक्रियाहरूको सुरुवातको बारेमा घटनाहरूको सङ्कलन सक्षम गर्छौं र क्वेस्ट इनट्रस्ट प्रयोग गरेर खतराहरू पहिचान गर्छौं।

कसरी InTrust ले RDP मार्फत असफल प्राधिकरण प्रयासहरूको दर घटाउन मद्दत गर्न सक्छ

हामीले ransomware आक्रमण पत्ता लगाउँछौं, डोमेन नियन्त्रकमा पहुँच प्राप्त गर्छौं र यी आक्रमणहरूको प्रतिरोध गर्ने प्रयास गर्छौं

Windows-आधारित वर्कस्टेशनको लगहरूबाट कुन उपयोगी चीजहरू निकाल्न सकिन्छ? (लोकप्रिय लेख)

कसले गर्यो? हामी सूचना सुरक्षा अडिटहरू स्वचालित गर्छौं

स्रोत: www.habr.com