{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kan n\u00e5 logge innholdet i utklippstavlen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Versjon 12 av Sysmon ble annonsert 17. september p\u00e5 Sysinternals-siden.<\/a><\/noindex>Slik sett ble det ogs\u00e5 utgitt nye versjoner av Process Monitor og ProcDump denne dagen. I denne artikkelen vil jeg beskrive en viktig og tvetydig nyskapning i versjon 12 av Sysmon \u2014 hendelsestypen med Event ID 24, som logger aktiviteter med utklippstavlen.<\/p>\n

\"Sysmon
\n
\nInformasjonen fra denne hendelsetypen \u00e5pner opp for nye muligheter til \u00e5 overv\u00e5ke mistenkelig aktivitet (og ogs\u00e5 nye s\u00e5rbarheter). Dermed vil du kunne se hvem, hvorfra og hva som ble fors\u00f8kt kopiert. Under finner du en beskrivelse av noen av feltene i den nye hendelsen og et par brukstilfeller.
\n<\/a><\/noindex>
\nDen nye hendelsen inneholder f\u00f8lgende felter:<\/p>\n

Image:<\/b> prosessen som dataene ble kopiert fra utklippstavlen.
\nSession:<\/b> \u00f8kten der innholdet ble kopiert til utklippstavlen. Dette kan v\u00e6re system(0) ved interaktiv eller fjernbruk osv.
\n ClientInfo:
\ninneholder brukernavnet til \u00f8kten, og i tilfelle av en fjernsituasjon \u2014 vertsnavnet og IP-adressen, hvis disse dataene er tilgjengelige.<\/b> Hashes:
\ndefinerer filnavnet der den kopierte teksten ble lagret (p\u00e5 samme m\u00e5te som ved hendelser av typen FileDelete).<\/b> Archived:
\nstatus, om teksten fra utklippstavlen ble lagret i Sysmon-arkivkatalogen.<\/b> De to siste feltene vekker bekymring. Saken er at fra versjon 11 kan Sysmon (med riktige innstillinger) lagre ulike data i arkivkatalogen sin. For eksempel logger Event ID 23 hendelser ved filfjerning og kan lagre dem alle i samme arkivkatalog. Filnavn som blir opprettet som f\u00f8lge av arbeid med utklippstavlen, f\u00e5r taggen CLIP. Filene inneholder de n\u00f8yaktige dataene som ble kopiert til utklippstavlen.<\/p>\n

Slik ser en lagret fil ut<\/p>\n

Lagring til fil aktiveres under installasjon. Det er mulig \u00e5 opprette hvitelister for prosesser som tekst ikke vil bli lagret fra.<\/b>
\n \"Sysmon<\/p>\n

\nSlik ser installasjonen av Sysmon ut med riktige innstillinger for arkivkatalogen:<\/p>\n

Slik ser installasjonen av Sysmon ut med tilpasset innstilling av arkivkatalogen:<\/b>
\n \"Sysmon<\/p>\n

\nHer, vil jeg tro vi b\u00f8r huske p\u00e5 passordbehandlere som ogs\u00e5 bruker utklippstavlen. \u00c5 ha Sysmon i systemet med en passordbehandler lar deg (eller en angriper) fange disse passordene. Hvis vi antar at du vet hvilken prosess som allokerer den kopierte teksten (og det er ikke alltid prosessen til passordbehandleren, men kanskje en svchost), kan dette unntaket legges til i hvitelisten og ikke lagres.<\/p>\n

Kanskje du ikke visste det, men teksten fra utklippstavlen blir fanget av den eksterne serveren n\u00e5r du bytter til den i RDP-\u00f8ktmodus. Hvis du har noe i utklippstavlen og bytter mellom RDP-\u00f8kter, vil denne informasjonen reise med deg.<\/p>\n

La oss oppsummere Sysmons muligheter med utklippstavlen.<\/p>\n

F\u00f8lgende blir registrert:<\/p>\n