ਵਿੰਡੋਜ਼-ਅਧਾਰਤ ਵਰਕਸਟੇਸ਼ਨ ਦੇ ਲੌਗਸ ਤੋਂ ਕਿਹੜੀਆਂ ਉਪਯੋਗੀ ਚੀਜ਼ਾਂ ਕੱਢੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ?

ਉਪਭੋਗਤਾ ਵਰਕਸਟੇਸ਼ਨ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਬਿੰਦੂ ਹੈ। ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਕੰਮ ਦੀ ਈਮੇਲ 'ਤੇ ਇੱਕ ਪੱਤਰ ਪ੍ਰਾਪਤ ਹੋ ਸਕਦਾ ਹੈ ਜੋ ਇੱਕ ਸੁਰੱਖਿਅਤ ਸਰੋਤ ਤੋਂ ਜਾਪਦਾ ਹੈ, ਪਰ ਇੱਕ ਸੰਕਰਮਿਤ ਸਾਈਟ ਦੇ ਲਿੰਕ ਦੇ ਨਾਲ। ਸ਼ਾਇਦ ਕੋਈ ਵਿਅਕਤੀ ਕਿਸੇ ਅਣਜਾਣ ਸਥਾਨ ਤੋਂ ਕੰਮ ਲਈ ਉਪਯੋਗੀ ਉਪਯੋਗਤਾ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰੇਗਾ। ਹਾਂ, ਤੁਸੀਂ ਦਰਜਨਾਂ ਮਾਮਲਿਆਂ ਦੇ ਨਾਲ ਆ ਸਕਦੇ ਹੋ ਕਿ ਕਿਵੇਂ ਮਾਲਵੇਅਰ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਅੰਦਰੂਨੀ ਕਾਰਪੋਰੇਟ ਸਰੋਤਾਂ ਵਿੱਚ ਘੁਸਪੈਠ ਕਰ ਸਕਦਾ ਹੈ. ਇਸ ਲਈ, ਵਰਕਸਟੇਸ਼ਨਾਂ ਨੂੰ ਵੱਧ ਧਿਆਨ ਦੇਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਇਸ ਲੇਖ ਵਿੱਚ ਅਸੀਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗੇ ਕਿ ਹਮਲਿਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਕਿੱਥੇ ਅਤੇ ਕਿਹੜੀਆਂ ਘਟਨਾਵਾਂ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ।

ਛੇਤੀ ਤੋਂ ਛੇਤੀ ਸੰਭਵ ਪੜਾਅ 'ਤੇ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ, ਵਿੰਡੋਜ਼ ਕੋਲ ਤਿੰਨ ਉਪਯੋਗੀ ਇਵੈਂਟ ਸਰੋਤ ਹਨ: ਸੁਰੱਖਿਆ ਇਵੈਂਟ ਲੌਗ, ਸਿਸਟਮ ਮਾਨੀਟਰਿੰਗ ਲੌਗ, ਅਤੇ ਪਾਵਰ ਸ਼ੈੱਲ ਲੌਗਸ।

ਸੁਰੱਖਿਆ ਇਵੈਂਟ ਲੌਗ

ਇਹ ਸਿਸਟਮ ਸੁਰੱਖਿਆ ਲਾਗਾਂ ਲਈ ਮੁੱਖ ਸਟੋਰੇਜ ਟਿਕਾਣਾ ਹੈ। ਇਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਲੌਗਇਨ/ਲੌਗਆਉਟ, ਵਸਤੂਆਂ ਤੱਕ ਪਹੁੰਚ, ਨੀਤੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ, ਅਤੇ ਹੋਰ ਸੁਰੱਖਿਆ-ਸਬੰਧਤ ਗਤੀਵਿਧੀਆਂ ਸ਼ਾਮਲ ਹਨ। ਬੇਸ਼ੱਕ, ਜੇਕਰ ਢੁਕਵੀਂ ਨੀਤੀ ਕੌਂਫਿਗਰ ਕੀਤੀ ਗਈ ਹੈ।

ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਸਮੂਹਾਂ ਦੀ ਗਿਣਤੀ (ਇਵੈਂਟ 4798 ਅਤੇ 4799)। ਇੱਕ ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ, ਮਾਲਵੇਅਰ ਅਕਸਰ ਸਥਾਨਕ ਉਪਭੋਗਤਾ ਖਾਤਿਆਂ ਅਤੇ ਇੱਕ ਵਰਕਸਟੇਸ਼ਨ 'ਤੇ ਸਥਾਨਕ ਸਮੂਹਾਂ ਦੁਆਰਾ ਖੋਜ ਕਰਦਾ ਹੈ ਤਾਂ ਜੋ ਇਸ ਦੇ ਛਾਂਵੇਂ ਸੌਦਿਆਂ ਲਈ ਪ੍ਰਮਾਣ ਪੱਤਰ ਲੱਭਿਆ ਜਾ ਸਕੇ। ਇਹ ਇਵੈਂਟਾਂ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਅੱਗੇ ਵਧਣ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ, ਇਕੱਤਰ ਕੀਤੇ ਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਹੋਰ ਸਿਸਟਮਾਂ ਵਿੱਚ ਫੈਲਣ ਤੋਂ ਪਹਿਲਾਂ ਖੋਜਣ ਵਿੱਚ ਮਦਦ ਕਰਨਗੇ।

ਇੱਕ ਸਥਾਨਕ ਖਾਤਾ ਬਣਾਉਣਾ ਅਤੇ ਸਥਾਨਕ ਸਮੂਹਾਂ ਵਿੱਚ ਬਦਲਾਅ (ਇਵੈਂਟਸ 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 ਅਤੇ 5377)। ਹਮਲਾ ਵੀ ਸ਼ੁਰੂ ਹੋ ਸਕਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਸਥਾਨਕ ਪ੍ਰਸ਼ਾਸਕ ਸਮੂਹ ਵਿੱਚ ਇੱਕ ਨਵਾਂ ਉਪਭੋਗਤਾ ਜੋੜ ਕੇ।

ਇੱਕ ਸਥਾਨਕ ਖਾਤੇ (ਇਵੈਂਟ 4624) ਨਾਲ ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ਾਂ। ਸਤਿਕਾਰਯੋਗ ਉਪਭੋਗਤਾ ਇੱਕ ਡੋਮੇਨ ਖਾਤੇ ਨਾਲ ਲੌਗਇਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਸਥਾਨਕ ਖਾਤੇ ਦੇ ਅਧੀਨ ਲੌਗਇਨ ਦੀ ਪਛਾਣ ਕਰਨ ਦਾ ਮਤਲਬ ਇੱਕ ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ ਹੋ ਸਕਦਾ ਹੈ। ਇਵੈਂਟ 4624 ਵਿੱਚ ਇੱਕ ਡੋਮੇਨ ਖਾਤੇ ਦੇ ਅਧੀਨ ਲੌਗਇਨ ਵੀ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਇਸਲਈ ਇਵੈਂਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ, ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਇਵੈਂਟਾਂ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਜਿੱਥੇ ਡੋਮੇਨ ਵਰਕਸਟੇਸ਼ਨ ਨਾਮ ਤੋਂ ਵੱਖਰਾ ਹੁੰਦਾ ਹੈ।

ਦਿੱਤੇ ਖਾਤੇ (ਇਵੈਂਟ 4648) ਨਾਲ ਲੌਗਇਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼। ਇਹ ਉਦੋਂ ਵਾਪਰਦਾ ਹੈ ਜਦੋਂ ਪ੍ਰਕਿਰਿਆ "ਚਲਾਓ" ਮੋਡ ਵਿੱਚ ਚੱਲ ਰਹੀ ਹੈ। ਸਿਸਟਮ ਦੇ ਆਮ ਕੰਮਕਾਜ ਦੌਰਾਨ ਅਜਿਹਾ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ, ਇਸ ਲਈ ਅਜਿਹੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਵਰਕਸਟੇਸ਼ਨ ਨੂੰ ਲਾਕ/ਅਨਲਾਕ ਕਰਨਾ (ਇਵੈਂਟਸ 4800-4803)। ਸ਼ੱਕੀ ਘਟਨਾਵਾਂ ਦੀ ਸ਼੍ਰੇਣੀ ਵਿੱਚ ਲਾਕ ਕੀਤੇ ਵਰਕਸਟੇਸ਼ਨ 'ਤੇ ਵਾਪਰੀਆਂ ਸਾਰੀਆਂ ਕਾਰਵਾਈਆਂ ਸ਼ਾਮਲ ਹੁੰਦੀਆਂ ਹਨ।

ਫਾਇਰਵਾਲ ਕੌਂਫਿਗਰੇਸ਼ਨ ਬਦਲਾਅ (ਇਵੈਂਟਸ 4944-4958)। ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਨਵੇਂ ਸੌਫਟਵੇਅਰ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਵੇਲੇ, ਫਾਇਰਵਾਲ ਸੰਰਚਨਾ ਸੈਟਿੰਗਾਂ ਬਦਲ ਸਕਦੀਆਂ ਹਨ, ਜੋ ਗਲਤ ਸਕਾਰਾਤਮਕਤਾ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੀਆਂ ਹਨ। ਜ਼ਿਆਦਾਤਰ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਅਜਿਹੀਆਂ ਤਬਦੀਲੀਆਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਦੀ ਕੋਈ ਲੋੜ ਨਹੀਂ ਹੈ, ਪਰ ਉਹਨਾਂ ਬਾਰੇ ਜਾਣਨਾ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਨੁਕਸਾਨ ਨਹੀਂ ਹੋਵੇਗਾ।

ਪਲੱਗਇਨ ਪਲੇ ਡਿਵਾਈਸਾਂ ਨੂੰ ਕਨੈਕਟ ਕਰਨਾ (ਇਵੈਂਟ 6416 ਅਤੇ ਕੇਵਲ ਵਿੰਡੋਜ਼ 10 ਲਈ)। ਇਸ 'ਤੇ ਨਜ਼ਰ ਰੱਖਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਜੇਕਰ ਉਪਭੋਗਤਾ ਆਮ ਤੌਰ 'ਤੇ ਨਵੇਂ ਡਿਵਾਈਸਾਂ ਨੂੰ ਵਰਕਸਟੇਸ਼ਨ ਨਾਲ ਨਹੀਂ ਕਨੈਕਟ ਕਰਦੇ ਹਨ, ਪਰ ਫਿਰ ਅਚਾਨਕ ਅਜਿਹਾ ਕਰਦੇ ਹਨ।

ਵਿੰਡੋਜ਼ ਵਿੱਚ ਫਾਈਨ-ਟਿਊਨਿੰਗ ਲਈ 9 ਆਡਿਟ ਸ਼੍ਰੇਣੀਆਂ ਅਤੇ 50 ਉਪ-ਸ਼੍ਰੇਣੀਆਂ ਸ਼ਾਮਲ ਹਨ। ਉਪ-ਸ਼੍ਰੇਣੀਆਂ ਦਾ ਘੱਟੋ-ਘੱਟ ਸੈੱਟ ਜੋ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਯੋਗ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ:

ਲੋਗਨ / ਲੌਗਆਫ

• ਲੌਗਨ;
• ਲਾਗ ਆਫ;
• ਖਾਤਾ ਤਾਲਾਬੰਦੀ;
• ਹੋਰ ਲੌਗਨ/ਲੌਗਆਫ ਇਵੈਂਟਸ।

ਖਾਤਾ ਪ੍ਰਬੰਧਨ

• ਉਪਭੋਗਤਾ ਖਾਤਾ ਪ੍ਰਬੰਧਨ;
• ਸੁਰੱਖਿਆ ਸਮੂਹ ਪ੍ਰਬੰਧਨ.

ਨੀਤੀ ਤਬਦੀਲੀ

• ਆਡਿਟ ਨੀਤੀ ਤਬਦੀਲੀ;
• ਪ੍ਰਮਾਣਿਕਤਾ ਨੀਤੀ ਤਬਦੀਲੀ;
• ਅਧਿਕਾਰ ਨੀਤੀ ਵਿੱਚ ਤਬਦੀਲੀ।

ਸਿਸਟਮ ਮਾਨੀਟਰ (Sysmon)

ਸਿਸਮੋਨ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਬਣੀ ਇੱਕ ਉਪਯੋਗਤਾ ਹੈ ਜੋ ਸਿਸਟਮ ਲੌਗ ਵਿੱਚ ਘਟਨਾਵਾਂ ਨੂੰ ਰਿਕਾਰਡ ਕਰ ਸਕਦੀ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ ਤੁਹਾਨੂੰ ਇਸਨੂੰ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸਥਾਪਤ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੁੰਦੀ ਹੈ.

ਇਹ ਉਹੀ ਘਟਨਾਵਾਂ, ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ, ਸੁਰੱਖਿਆ ਲੌਗ (ਇੱਛਤ ਆਡਿਟ ਨੀਤੀ ਨੂੰ ਸਮਰੱਥ ਕਰਕੇ) ਵਿੱਚ ਲੱਭੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ, ਪਰ ਸਿਸਮੋਨ ਹੋਰ ਵੇਰਵੇ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਸਿਸਮੋਨ ਤੋਂ ਕਿਹੜੀਆਂ ਘਟਨਾਵਾਂ ਲਈਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ?

ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣ (ਇਵੈਂਟ ID 1)। ਸਿਸਟਮ ਸੁਰੱਖਿਆ ਇਵੈਂਟ ਲੌਗ ਤੁਹਾਨੂੰ ਇਹ ਵੀ ਦੱਸ ਸਕਦਾ ਹੈ ਕਿ ਇੱਕ *.exe ਕਦੋਂ ਸ਼ੁਰੂ ਹੋਇਆ ਅਤੇ ਇਸਦਾ ਨਾਮ ਅਤੇ ਲਾਂਚ ਮਾਰਗ ਵੀ ਦਿਖਾ ਸਕਦਾ ਹੈ। ਪਰ ਸਿਸਮੋਨ ਦੇ ਉਲਟ, ਇਹ ਐਪਲੀਕੇਸ਼ਨ ਹੈਸ਼ ਦਿਖਾਉਣ ਦੇ ਯੋਗ ਨਹੀਂ ਹੋਵੇਗਾ। ਖਤਰਨਾਕ ਸੌਫਟਵੇਅਰ ਨੂੰ ਨੁਕਸਾਨ ਰਹਿਤ notepad.exe ਵੀ ਕਿਹਾ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਇਹ ਹੈਸ਼ ਹੈ ਜੋ ਇਸਨੂੰ ਪ੍ਰਕਾਸ਼ ਵਿੱਚ ਲਿਆਏਗਾ।

ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ (ਇਵੈਂਟ ID 3)। ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਇੱਥੇ ਬਹੁਤ ਸਾਰੇ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਸਾਰਿਆਂ ਦਾ ਧਿਆਨ ਰੱਖਣਾ ਅਸੰਭਵ ਹੈ। ਪਰ ਇਹ ਵਿਚਾਰ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ Sysmon, ਸੁਰੱਖਿਆ ਲੌਗ ਦੇ ਉਲਟ, ProcessID ਅਤੇ ProcessGUID ਖੇਤਰਾਂ ਨਾਲ ਇੱਕ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਜੋੜ ਸਕਦਾ ਹੈ, ਅਤੇ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਦੇ ਪੋਰਟ ਅਤੇ IP ਐਡਰੈੱਸ ਦਿਖਾਉਂਦਾ ਹੈ।

ਸਿਸਟਮ ਰਜਿਸਟਰੀ ਵਿੱਚ ਬਦਲਾਅ (ਇਵੈਂਟ ID 12-14)। ਆਪਣੇ ਆਪ ਨੂੰ ਆਟੋਰਨ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਦਾ ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ ਰਜਿਸਟਰੀ ਵਿੱਚ ਰਜਿਸਟਰ ਕਰਨਾ। ਸੁਰੱਖਿਆ ਲੌਗ ਅਜਿਹਾ ਕਰ ਸਕਦਾ ਹੈ, ਪਰ ਸਿਸਮੋਨ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਤਬਦੀਲੀਆਂ ਕਿਸ ਨੇ ਕੀਤੀਆਂ, ਕਦੋਂ, ਕਿੱਥੋਂ, ਪ੍ਰੋਸੈਸ ID ਅਤੇ ਪਿਛਲੀ ਕੁੰਜੀ ਮੁੱਲ।

ਫਾਈਲ ਬਣਾਉਣਾ (ਇਵੈਂਟ ID 11)। Sysmon, ਸੁਰੱਖਿਆ ਲੌਗ ਦੇ ਉਲਟ, ਨਾ ਸਿਰਫ਼ ਫਾਈਲ ਦੀ ਸਥਿਤੀ, ਸਗੋਂ ਇਸਦਾ ਨਾਮ ਵੀ ਦਿਖਾਏਗਾ। ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਤੁਸੀਂ ਹਰ ਚੀਜ਼ ਦਾ ਧਿਆਨ ਨਹੀਂ ਰੱਖ ਸਕਦੇ, ਪਰ ਤੁਸੀਂ ਕੁਝ ਡਾਇਰੈਕਟਰੀਆਂ ਦਾ ਆਡਿਟ ਕਰ ਸਕਦੇ ਹੋ।

ਅਤੇ ਹੁਣ ਜੋ ਸੁਰੱਖਿਆ ਲੌਗ ਨੀਤੀਆਂ ਵਿੱਚ ਨਹੀਂ ਹੈ, ਪਰ ਸਿਸਮੋਨ ਵਿੱਚ ਹੈ:

ਫਾਈਲ ਬਣਾਉਣ ਦੇ ਸਮੇਂ ਵਿੱਚ ਤਬਦੀਲੀ (ਇਵੈਂਟ ID 2)। ਹਾਲ ਹੀ ਵਿੱਚ ਬਣਾਈਆਂ ਗਈਆਂ ਫਾਈਲਾਂ ਦੀਆਂ ਰਿਪੋਰਟਾਂ ਤੋਂ ਛੁਪਾਉਣ ਲਈ ਕੁਝ ਮਾਲਵੇਅਰ ਇੱਕ ਫਾਈਲ ਦੀ ਬਣਾਉਣ ਦੀ ਮਿਤੀ ਨੂੰ ਧੋਖਾ ਦੇ ਸਕਦੇ ਹਨ।

ਡਰਾਈਵਰਾਂ ਅਤੇ ਡਾਇਨਾਮਿਕ ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਲੋਡ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ (ਇਵੈਂਟ ID 6-7)। DLLs ਅਤੇ ਡਿਵਾਈਸ ਡਰਾਈਵਰਾਂ ਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਨ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ, ਡਿਜੀਟਲ ਦਸਤਖਤ ਅਤੇ ਇਸਦੀ ਵੈਧਤਾ ਦੀ ਜਾਂਚ ਕਰਨਾ।

ਚੱਲ ਰਹੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇੱਕ ਥਰਿੱਡ ਬਣਾਓ (ਇਵੈਂਟ ID 8)। ਇੱਕ ਕਿਸਮ ਦਾ ਹਮਲਾ ਜਿਸ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੀ ਵੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

RawAccessRead ਇਵੈਂਟਸ (ਇਵੈਂਟ ID 9)। "." ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡਿਸਕ ਰੀਡ ਓਪਰੇਸ਼ਨ। ਜ਼ਿਆਦਾਤਰ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਅਜਿਹੀ ਗਤੀਵਿਧੀ ਨੂੰ ਅਸਧਾਰਨ ਮੰਨਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਇੱਕ ਨਾਮਿਤ ਫਾਈਲ ਸਟ੍ਰੀਮ ਬਣਾਓ (ਇਵੈਂਟ ID 15)। ਇੱਕ ਇਵੈਂਟ ਲੌਗ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਨਾਮਿਤ ਫਾਈਲ ਸਟ੍ਰੀਮ ਬਣਾਈ ਜਾਂਦੀ ਹੈ ਜੋ ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ਦੇ ਹੈਸ਼ ਨਾਲ ਇਵੈਂਟਾਂ ਨੂੰ ਛੱਡਦੀ ਹੈ।

ਇੱਕ ਨਾਮਿਤ ਪਾਈਪ ਅਤੇ ਕੁਨੈਕਸ਼ਨ ਬਣਾਉਣਾ (ਇਵੈਂਟ ID 17-18)। ਟ੍ਰੈਕਿੰਗ ਖਤਰਨਾਕ ਕੋਡ ਜੋ ਨਾਮੀ ਪਾਈਪ ਰਾਹੀਂ ਦੂਜੇ ਭਾਗਾਂ ਨਾਲ ਸੰਚਾਰ ਕਰਦਾ ਹੈ।

WMI ਗਤੀਵਿਧੀ (ਇਵੈਂਟ ID 19)। WMI ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਸਿਸਟਮ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਵੇਲੇ ਉਤਪੰਨ ਹੋਣ ਵਾਲੀਆਂ ਘਟਨਾਵਾਂ ਦੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ।

ਸਿਸਮੋਨ ਨੂੰ ਆਪਣੇ ਆਪ ਦੀ ਰੱਖਿਆ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ID 4 (Sysmon ਨੂੰ ਰੋਕਣਾ ਅਤੇ ਸ਼ੁਰੂ ਕਰਨਾ) ਅਤੇ ID 16 (Sysmon ਕੌਂਫਿਗਰੇਸ਼ਨ ਤਬਦੀਲੀਆਂ) ਨਾਲ ਇਵੈਂਟਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਪਾਵਰ ਸ਼ੈੱਲ ਲੌਗਸ

ਪਾਵਰ ਸ਼ੈੱਲ ਵਿੰਡੋਜ਼ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਇੱਕ ਸ਼ਕਤੀਸ਼ਾਲੀ ਸੰਦ ਹੈ, ਇਸਲਈ ਸੰਭਾਵਨਾ ਵੱਧ ਹੈ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਇਸਨੂੰ ਚੁਣੇਗਾ। ਪਾਵਰ ਸ਼ੈੱਲ ਇਵੈਂਟ ਡਾਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਤੁਸੀਂ ਦੋ ਸਰੋਤ ਵਰਤ ਸਕਦੇ ਹੋ: Windows PowerShell ਲੌਗ ਅਤੇ Microsoft-WindowsPowerShell/ਆਪਰੇਸ਼ਨਲ ਲੌਗ।

ਵਿੰਡੋਜ਼ ਪਾਵਰਸ਼ੇਲ ਲੌਗ

ਡਾਟਾ ਪ੍ਰਦਾਤਾ ਲੋਡ ਕੀਤਾ (ਇਵੈਂਟ ID 600)। PowerShell ਪ੍ਰਦਾਤਾ ਉਹ ਪ੍ਰੋਗਰਾਮ ਹੁੰਦੇ ਹਨ ਜੋ PowerShell ਨੂੰ ਦੇਖਣ ਅਤੇ ਪ੍ਰਬੰਧਿਤ ਕਰਨ ਲਈ ਡੇਟਾ ਦਾ ਇੱਕ ਸਰੋਤ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਬਿਲਟ-ਇਨ ਪ੍ਰਦਾਤਾ Windows ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਜਾਂ ਸਿਸਟਮ ਰਜਿਸਟਰੀ ਹੋ ਸਕਦੇ ਹਨ। ਸਮੇਂ ਸਿਰ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਨਵੇਂ ਸਪਲਾਇਰਾਂ ਦੇ ਉਭਾਰ ਦੀ ਨਿਗਰਾਨੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਤੁਸੀਂ ਪ੍ਰਦਾਤਾਵਾਂ ਵਿੱਚ WSMan ਦਿਖਾਈ ਦਿੰਦੇ ਹੋ, ਤਾਂ ਇੱਕ ਰਿਮੋਟ PowerShell ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕੀਤਾ ਗਿਆ ਹੈ।

Microsoft-WindowsPowerShell / ਓਪਰੇਸ਼ਨਲ ਲੌਗ (ਜਾਂ MicrosoftWindows-PowerShellCore / PowerShell 6 ਵਿੱਚ ਕਾਰਜਸ਼ੀਲ)

ਮੋਡੀਊਲ ਲੌਗਿੰਗ (ਇਵੈਂਟ ID 4103)। ਇਵੈਂਟ ਹਰੇਕ ਐਗਜ਼ੀਕਿਊਟ ਕੀਤੀ ਕਮਾਂਡ ਅਤੇ ਉਹਨਾਂ ਪੈਰਾਮੀਟਰਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਸਟੋਰ ਕਰਦੇ ਹਨ ਜਿਸ ਨਾਲ ਇਸਨੂੰ ਬੁਲਾਇਆ ਗਿਆ ਸੀ।

ਸਕ੍ਰਿਪਟ ਬਲਾਕਿੰਗ ਲੌਗਿੰਗ (ਇਵੈਂਟ ID 4104)। ਸਕ੍ਰਿਪਟ ਬਲਾਕਿੰਗ ਲੌਗਿੰਗ ਪਾਵਰਸ਼ੇਲ ਕੋਡ ਦੇ ਹਰ ਬਲਾਕ ਨੂੰ ਐਗਜ਼ੀਕਿਊਟ ਕੀਤਾ ਗਿਆ ਦਿਖਾਉਂਦਾ ਹੈ। ਭਾਵੇਂ ਕੋਈ ਹਮਲਾਵਰ ਕਮਾਂਡ ਨੂੰ ਲੁਕਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਇਹ ਇਵੈਂਟ ਕਿਸਮ PowerShell ਕਮਾਂਡ ਦਿਖਾਏਗਾ ਜੋ ਅਸਲ ਵਿੱਚ ਚਲਾਇਆ ਗਿਆ ਸੀ। ਇਹ ਇਵੈਂਟ ਕਿਸਮ ਕੁਝ ਨੀਵੇਂ-ਪੱਧਰ ਦੀਆਂ API ਕਾਲਾਂ ਨੂੰ ਵੀ ਲੌਗ ਕਰ ਸਕਦੀ ਹੈ, ਇਹਨਾਂ ਇਵੈਂਟਾਂ ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਵਰਬੋਜ਼ ਵਜੋਂ ਰਿਕਾਰਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਪਰ ਜੇਕਰ ਕੋਡ ਦੇ ਇੱਕ ਬਲਾਕ ਵਿੱਚ ਕੋਈ ਸ਼ੱਕੀ ਕਮਾਂਡ ਜਾਂ ਸਕ੍ਰਿਪਟ ਵਰਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਹ ਇੱਕ ਚੇਤਾਵਨੀ ਗੰਭੀਰਤਾ ਵਜੋਂ ਲੌਗ ਕੀਤਾ ਜਾਵੇਗਾ।

ਕਿਰਪਾ ਕਰਕੇ ਨੋਟ ਕਰੋ ਕਿ ਇੱਕ ਵਾਰ ਟੂਲ ਨੂੰ ਇਹਨਾਂ ਘਟਨਾਵਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਗਲਤ ਸਕਾਰਾਤਮਕ ਦੀ ਸੰਖਿਆ ਨੂੰ ਘਟਾਉਣ ਲਈ ਵਾਧੂ ਡੀਬੱਗਿੰਗ ਸਮੇਂ ਦੀ ਲੋੜ ਹੋਵੇਗੀ।

ਸਾਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਦੱਸੋ ਕਿ ਤੁਸੀਂ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਆਡਿਟ ਲਈ ਕਿਹੜੇ ਲੌਗ ਇਕੱਠੇ ਕਰਦੇ ਹੋ ਅਤੇ ਤੁਸੀਂ ਇਸਦੇ ਲਈ ਕਿਹੜੇ ਸਾਧਨ ਵਰਤਦੇ ਹੋ। ਸਾਡੇ ਖੇਤਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਇਵੈਂਟਾਂ ਦੇ ਆਡਿਟ ਲਈ ਹੱਲ ਹੈ। ਲਾਗਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ, ਅਸੀਂ ਇਸ 'ਤੇ ਨੇੜਿਓਂ ਵਿਚਾਰ ਕਰਨ ਦਾ ਸੁਝਾਅ ਦੇ ਸਕਦੇ ਹਾਂ Quest InTrust, ਜੋ ਕਿ 20:1 ਦੇ ਅਨੁਪਾਤ ਨਾਲ ਸਟੋਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਸੰਕੁਚਿਤ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਇੱਕ ਸਥਾਪਿਤ ਉਦਾਹਰਨ 60000 ਸਰੋਤਾਂ ਤੋਂ ਪ੍ਰਤੀ ਸਕਿੰਟ 10000 ਇਵੈਂਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਦੇ ਸਮਰੱਥ ਹੈ।

ਸਰੋਤ: www.habr.com