{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kan nu de inhoud van het klembord vastleggen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Over de release van versie 12 van Sysmon werd op 17 september gemeld op de Sysinternals-pagina.<\/a><\/noindex>Op dezelfde dag werden ook nieuwe versies van Process Monitor en ProcDump uitgebracht. In dit artikel bespreek ik de belangrijkste en controversi\u00eble vernieuwing in versie 12 van Sysmon \u2014 het type gebeurtenissen met Event ID 24, waarin de activiteiten met het klembord worden gelogd.<\/p>\n

\"Sysmon
\n
\nInformatie uit dit type gebeurtenis opent nieuwe mogelijkheden voor controle van verdachte activiteiten (en ook nieuwe kwetsbaarheden). Zo kunt u begrijpen wie, van waar en wat precies probeerde te kopi\u00ebren. Onderstaand beschrijven we enkele velden van het nieuwe evenement en een paar use cases.
\n<\/a><\/noindex>
\nDe nieuwe gebeurtenis bevat de volgende velden:<\/p>\n

Image:<\/b> het proces waarvan de gegevens zijn vastgelegd in het klembord.
\nSession:<\/b> de sessie waarin de gegevens naar het klembord zijn geschreven. Dit kan system(0) zijn
\n bij interactief of extern gebruik, enz.
\nClientInfo:<\/b> bevat de naam van de gebruikerssessie, en in het geval van een externe sessie \u2014 de oorspronkelijke hostnaam en IP-adres, indien deze gegevens beschikbaar zijn.
\nHashes:<\/b> bepaalt de naam van het bestand waarin de gekopieerde tekst is opgeslagen (vergelijkbaar met de werking van gebeurtenissen van het type FileDelete).
\nArchived:<\/b> de status of de tekst uit het klembord is opgeslagen in de archiefdirectory van Sysmon.<\/p>\n

De laatste paar velden zijn zorgwekkend. Het probleem is dat vanaf versie 11 Sysmon (bij de juiste instellingen) verschillende gegevens in zijn archiefdirectory kan opslaan. Bijvoorbeeld, Event ID 23 logt gebeurtenissen met betrekking tot het verwijderen van bestanden en kan deze ook in dezelfde archiefdirectory opslaan. Aan de namen van bestanden die worden gecre\u00eberd naar aanleiding van het werken met het klembord wordt de tag CLIP toegevoegd. De bestanden bevatten exacte gegevens die in het klembord zijn gekopieerd.<\/p>\n

Zo ziet het opgeslagen bestand eruit.<\/b>
\n \"Sysmon<\/p>\n

\nOpslaan naar bestand wordt ingeschakeld tijdens de installatie. U kunt whitelist-processen instellen waarvan de tekst niet wordt opgeslagen.<\/p>\n

Zo ziet de installatie van Sysmon eruit met de bijbehorende configuratie van de archiefdirectory:<\/b>
\n \"Sysmon<\/p>\n

\nHier denk ik dat we moeten denken aan wachtwoordmanagers, die ook gebruik maken van het klembord. Het hebben van Sysmon in een systeem met een wachtwoordmanager stelt u (of een aanvaller) in staat om deze wachtwoorden te onderscheppen. Als u weet welk proces de gekopieerde tekst toewijst (en dat is niet altijd het proces van de wachtwoordmanager, maar kan bijvoorbeeld een svchost zijn), kunt u deze uitzondering aan de whitelist toevoegen en niet opslaan.<\/p>\n

Misschien wist je het niet, maar de tekst uit het klembord wordt vastgelegd door de externe server wanneer je overschakelt naar deze in RDP-sessie modus. Als je iets in het klembord hebt en je schakelt tussen RDP-sessies, zal deze informatie met je meereizen.<\/p>\n

Laten we de mogelijkheden van Sysmon met betrekking tot het klembord samenvatten.<\/p>\n

Vastgelegd:<\/p>\n