ਸਿਸਮੋਨ ਧਮਕੀ ਵਿਸ਼ਲੇਸ਼ਣ ਗਾਈਡ, ਭਾਗ 1

ਇਹ ਲੇਖ ਸਿਸਮੋਨ ਧਮਕੀ ਵਿਸ਼ਲੇਸ਼ਣ 'ਤੇ ਇੱਕ ਲੜੀ ਦਾ ਪਹਿਲਾ ਹਿੱਸਾ ਹੈ। ਲੜੀ ਦੇ ਹੋਰ ਸਾਰੇ ਹਿੱਸੇ:

ਭਾਗ 1: ਸਿਸਮੋਨ ਲੌਗ ਵਿਸ਼ਲੇਸ਼ਣ ਨਾਲ ਜਾਣ-ਪਛਾਣ (ਅਸੀਂ ਇੱਥੇ ਹਾਂ)
ਭਾਗ 2: ਧਮਕੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਿਸਮੋਨ ਇਵੈਂਟ ਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਨਾ
ਭਾਗ 3. ਗ੍ਰਾਫਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਿਸਮੋਨ ਧਮਕੀਆਂ ਦਾ ਡੂੰਘਾਈ ਨਾਲ ਵਿਸ਼ਲੇਸ਼ਣ

ਜੇਕਰ ਤੁਸੀਂ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਵਿੱਚ ਕੰਮ ਕਰਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਅਕਸਰ ਚੱਲ ਰਹੇ ਹਮਲਿਆਂ ਨੂੰ ਸਮਝਣਾ ਪੈਂਦਾ ਹੈ। ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਇੱਕ ਸਿਖਿਅਤ ਅੱਖ ਹੈ, ਤਾਂ ਤੁਸੀਂ "ਕੱਚੇ" ਅਣਪ੍ਰੋਸੈਸ ਕੀਤੇ ਲੌਗਾਂ ਵਿੱਚ ਗੈਰ-ਮਿਆਰੀ ਗਤੀਵਿਧੀ ਲੱਭ ਸਕਦੇ ਹੋ - ਕਹੋ, ਇੱਕ PowerShell ਸਕ੍ਰਿਪਟ ਚੱਲ ਰਹੀ ਹੈ DownloadString ਕਮਾਂਡ ਨਾਲ ਜਾਂ ਇੱਕ VBS ਸਕ੍ਰਿਪਟ ਇੱਕ ਵਰਡ ਫਾਈਲ ਹੋਣ ਦਾ ਦਿਖਾਵਾ ਕਰਦੀ ਹੈ - ਬਸ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਨਵੀਨਤਮ ਗਤੀਵਿਧੀ ਦੁਆਰਾ ਸਕ੍ਰੌਲ ਕਰਨਾ। ਪਰ ਇਹ ਇੱਕ ਬਹੁਤ ਵੱਡਾ ਸਿਰ ਦਰਦ ਹੈ. ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਨੇ ਸਿਸਮੋਨ ਬਣਾਇਆ, ਜੋ ਹਮਲੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਬਹੁਤ ਸੌਖਾ ਬਣਾਉਂਦਾ ਹੈ।

ਸਿਸਮੋਨ ਲੌਗ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਧਮਕੀਆਂ ਦੇ ਪਿੱਛੇ ਮੂਲ ਵਿਚਾਰਾਂ ਨੂੰ ਸਮਝਣਾ ਚਾਹੁੰਦੇ ਹੋ? ਸਾਡੀ ਗਾਈਡ ਡਾਊਨਲੋਡ ਕਰੋ WMI ਇਵੈਂਟਸ ਜਾਸੂਸੀ ਦੇ ਸਾਧਨ ਵਜੋਂ ਅਤੇ ਤੁਸੀਂ ਇਹ ਮਹਿਸੂਸ ਕਰਦੇ ਹੋ ਕਿ ਕਿਵੇਂ ਅੰਦਰੂਨੀ ਦੂਜੇ ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਗੁਪਤ ਰੂਪ ਵਿੱਚ ਦੇਖ ਸਕਦੇ ਹਨ। ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਦੇ ਨਾਲ ਕੰਮ ਕਰਨ ਵਿੱਚ ਮੁੱਖ ਸਮੱਸਿਆ ਪੇਰੈਂਟ ਪ੍ਰਕਿਰਿਆਵਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੀ ਘਾਟ ਹੈ, ਜਿਵੇਂ ਕਿ. ਇਸ ਤੋਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਲੜੀ ਨੂੰ ਸਮਝਣਾ ਅਸੰਭਵ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਸਿਸਮੋਨ ਲੌਗ ਐਂਟਰੀਆਂ ਵਿੱਚ ਪੇਰੈਂਟ ਪ੍ਰਕਿਰਿਆ ID, ਇਸਦਾ ਨਾਮ, ਅਤੇ ਲਾਂਚ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਕਮਾਂਡ ਲਾਈਨ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ। ਤੁਹਾਡਾ ਧੰਨਵਾਦ, ਮਾਈਕ੍ਰੋਸਾਫਟ।

ਸਾਡੀ ਲੜੀ ਦੇ ਪਹਿਲੇ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ ਦੇਖਾਂਗੇ ਕਿ ਤੁਸੀਂ ਸਿਸਮੋਨ ਤੋਂ ਮੁੱਢਲੀ ਜਾਣਕਾਰੀ ਨਾਲ ਕੀ ਕਰ ਸਕਦੇ ਹੋ। ਭਾਗ XNUMX ਵਿੱਚ, ਅਸੀਂ ਖ਼ਤਰੇ ਦੇ ਗ੍ਰਾਫਾਂ ਵਜੋਂ ਜਾਣੇ ਜਾਂਦੇ ਵਧੇਰੇ ਗੁੰਝਲਦਾਰ ਪਾਲਣਾ ਢਾਂਚੇ ਨੂੰ ਬਣਾਉਣ ਲਈ ਮਾਤਾ-ਪਿਤਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਜਾਣਕਾਰੀ ਦਾ ਪੂਰਾ ਲਾਭ ਉਠਾਵਾਂਗੇ। ਤੀਜੇ ਭਾਗ ਵਿੱਚ, ਅਸੀਂ ਇੱਕ ਸਧਾਰਨ ਐਲਗੋਰਿਦਮ ਨੂੰ ਵੇਖਾਂਗੇ ਜੋ ਗ੍ਰਾਫ ਦੇ "ਭਾਰ" ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਕੇ ਅਸਧਾਰਨ ਗਤੀਵਿਧੀ ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਇੱਕ ਧਮਕੀ ਗ੍ਰਾਫ ਨੂੰ ਸਕੈਨ ਕਰਦਾ ਹੈ। ਅਤੇ ਅੰਤ ਵਿੱਚ, ਤੁਹਾਨੂੰ ਇੱਕ ਸਾਫ਼ (ਅਤੇ ਸਮਝਣ ਯੋਗ) ਸੰਭਾਵੀ ਧਮਕੀ ਖੋਜ ਵਿਧੀ ਨਾਲ ਇਨਾਮ ਦਿੱਤਾ ਜਾਵੇਗਾ।

ਭਾਗ 1: ਸਿਸਮੋਨ ਲੌਗ ਵਿਸ਼ਲੇਸ਼ਣ ਨਾਲ ਜਾਣ-ਪਛਾਣ

ਇਵੈਂਟ ਲੌਗ ਦੀਆਂ ਗੁੰਝਲਾਂ ਨੂੰ ਸਮਝਣ ਵਿੱਚ ਕਿਹੜੀ ਚੀਜ਼ ਤੁਹਾਡੀ ਮਦਦ ਕਰ ਸਕਦੀ ਹੈ? ਆਖਰਕਾਰ - SIEM. ਇਹ ਘਟਨਾਵਾਂ ਨੂੰ ਆਮ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਦੇ ਬਾਅਦ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਸਰਲ ਬਣਾਉਂਦਾ ਹੈ। ਪਰ ਸਾਨੂੰ ਉਸ ਦੂਰ ਜਾਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਘੱਟੋ ਘੱਟ ਪਹਿਲਾਂ ਤਾਂ ਨਹੀਂ। ਸ਼ੁਰੂ ਵਿੱਚ, SIEM ਦੇ ਸਿਧਾਂਤਾਂ ਨੂੰ ਸਮਝਣ ਲਈ, ਇਹ ਸ਼ਾਨਦਾਰ ਮੁਫ਼ਤ ਸਿਸਮੋਨ ਉਪਯੋਗਤਾ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਲਈ ਕਾਫੀ ਹੋਵੇਗਾ. ਅਤੇ ਉਸ ਨਾਲ ਕੰਮ ਕਰਨਾ ਹੈਰਾਨੀਜਨਕ ਤੌਰ 'ਤੇ ਆਸਾਨ ਹੈ। ਇਸਨੂੰ ਜਾਰੀ ਰੱਖੋ, ਮਾਈਕਰੋਸਾਫਟ!

ਸਿਸਮੋਨ ਦੀਆਂ ਕਿਹੜੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ?

ਸੰਖੇਪ ਵਿੱਚ - ਪ੍ਰਕਿਰਿਆਵਾਂ ਬਾਰੇ ਉਪਯੋਗੀ ਅਤੇ ਪੜ੍ਹਨਯੋਗ ਜਾਣਕਾਰੀ (ਹੇਠਾਂ ਤਸਵੀਰਾਂ ਦੇਖੋ)। ਤੁਹਾਨੂੰ ਉਪਯੋਗੀ ਵੇਰਵਿਆਂ ਦਾ ਇੱਕ ਸਮੂਹ ਮਿਲੇਗਾ ਜੋ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਨਹੀਂ ਹਨ, ਪਰ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਹੇਠਾਂ ਦਿੱਤੇ ਖੇਤਰ ਹਨ:

• ਪ੍ਰਕਿਰਿਆ ID (ਦਸ਼ਮਲਵ ਵਿੱਚ, ਹੈਕਸਾ ਵਿੱਚ ਨਹੀਂ!)
• ਮਾਤਾ-ਪਿਤਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਆਈ.ਡੀ
• ਪ੍ਰਕਿਰਿਆ ਕਮਾਂਡ ਲਾਈਨ
• ਮੂਲ ਪ੍ਰਕਿਰਿਆ ਦੀ ਕਮਾਂਡ ਲਾਈਨ
• ਫਾਈਲ ਚਿੱਤਰ ਹੈਸ਼
• ਫਾਈਲ ਚਿੱਤਰ ਦੇ ਨਾਮ

Sysmon ਨੂੰ ਇੱਕ ਡਿਵਾਈਸ ਡਰਾਈਵਰ ਅਤੇ ਇੱਕ ਸੇਵਾ ਦੇ ਤੌਰ ਤੇ ਇੰਸਟਾਲ ਕੀਤਾ ਗਿਆ ਹੈ - ਹੋਰ ਵੇਰਵੇ ਇੱਥੇ. ਇਸਦਾ ਮੁੱਖ ਫਾਇਦਾ ਲੌਗਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦੀ ਯੋਗਤਾ ਹੈ ਕੁਝ ਕੁ ਸਰੋਤ, ਜਾਣਕਾਰੀ ਦਾ ਸਬੰਧ ਅਤੇ ਨਤੀਜੇ ਵਜੋਂ ਮੁੱਲਾਂ ਦਾ ਆਉਟਪੁੱਟ ਮਾਰਗ ਦੇ ਨਾਲ ਸਥਿਤ ਇੱਕ ਇਵੈਂਟ ਲੌਗ ਫੋਲਡਰ ਨਾਲ ਮਾਈਕ੍ਰੋਸਾੱਫਟ -> ਵਿੰਡੋਜ਼ -> ਸਿਸਮੋਨ -> ਓਪਰੇਸ਼ਨਲ. ਵਿੰਡੋਜ਼ ਲੌਗਸ ਬਾਰੇ ਮੇਰੀ ਖੁਦ ਦੀ ਜਾਂਚ ਵਿੱਚ, ਮੈਂ ਆਪਣੇ ਆਪ ਨੂੰ ਪਾਵਰਸ਼ੇਲ ਲੌਗਸ ਫੋਲਡਰ ਅਤੇ ਸੁਰੱਖਿਆ ਫੋਲਡਰ ਦੇ ਵਿਚਕਾਰ ਲਗਾਤਾਰ ਸਵਿਚ ਕਰਨਾ ਪਾਇਆ, ਦੋਵਾਂ ਦੇ ਵਿਚਕਾਰ ਮੁੱਲਾਂ ਨੂੰ ਕਿਸੇ ਤਰ੍ਹਾਂ ਨਾਲ ਜੋੜਨ ਦੀ ਇੱਕ ਬਹਾਦਰੀ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ ਇਵੈਂਟ ਲੌਗਸ ਨੂੰ ਫਲਿੱਕ ਕਰਦੇ ਹੋਏ। . ਇਹ ਕਦੇ ਵੀ ਆਸਾਨ ਕੰਮ ਨਹੀਂ ਹੈ, ਅਤੇ ਜਿਵੇਂ ਕਿ ਮੈਨੂੰ ਬਾਅਦ ਵਿੱਚ ਅਹਿਸਾਸ ਹੋਇਆ, ਐਸਪਰੀਨ ਨੂੰ ਤੁਰੰਤ ਸਟਾਕ ਕਰਨਾ ਬਿਹਤਰ ਸੀ।

Sysmon ਅੰਤਰੀਵ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਸਮਝਣ ਵਿੱਚ ਮਦਦ ਲਈ ਉਪਯੋਗੀ (ਜਾਂ ਵਿਕਰੇਤਾ ਕਹਿਣਾ ਪਸੰਦ ਕਰਦੇ ਹਨ, ਕਾਰਵਾਈਯੋਗ) ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਕੇ ਇੱਕ ਕੁਆਂਟਮ ਲੀਪ ਅੱਗੇ ਲੈ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਮੈਂ ਇੱਕ ਗੁਪਤ ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕੀਤਾ wmiexec, ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਇੱਕ ਸਮਾਰਟ ਅੰਦਰੂਨੀ ਦੀ ਗਤੀ ਦੀ ਨਕਲ ਕਰਨਾ। ਇਹ ਉਹ ਹੈ ਜੋ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਦੇਖੋਗੇ:

ਵਿੰਡੋਜ਼ ਲੌਗ ਪ੍ਰਕਿਰਿਆ ਬਾਰੇ ਕੁਝ ਜਾਣਕਾਰੀ ਦਿਖਾਉਂਦਾ ਹੈ, ਪਰ ਇਹ ਬਹੁਤ ਘੱਟ ਉਪਯੋਗੀ ਹੈ। ਪਲੱਸ ਪ੍ਰੋਸੈਸ ਆਈਡੀ ਹੈਕਸਾਡੈਸੀਮਲ ਵਿੱਚ???

ਹੈਕਿੰਗ ਦੀਆਂ ਮੂਲ ਗੱਲਾਂ ਦੀ ਸਮਝ ਵਾਲੇ ਇੱਕ ਪੇਸ਼ੇਵਰ IT ਪੇਸ਼ੇਵਰ ਲਈ, ਕਮਾਂਡ ਲਾਈਨ ਸ਼ੱਕੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। ਇੱਕ ਹੋਰ ਕਮਾਂਡ ਚਲਾਉਣ ਲਈ cmd.exe ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਅਤੇ ਇੱਕ ਅਜੀਬ ਨਾਮ ਵਾਲੀ ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਆਉਟਪੁੱਟ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਨਾ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਨਿਗਰਾਨੀ ਅਤੇ ਨਿਯੰਤਰਣ ਸੌਫਟਵੇਅਰ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੇ ਸਮਾਨ ਹੈ। ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ (C2): ਇਸ ਤਰੀਕੇ ਨਾਲ, WMI ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਸੂਡੋ-ਸ਼ੈਲ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ।
ਆਓ ਹੁਣ ਸਿਸਮੋਨ ਐਂਟਰੀ ਦੇ ਬਰਾਬਰ 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਮਾਰੀਏ, ਇਹ ਦੇਖਦੇ ਹੋਏ ਕਿ ਇਹ ਸਾਨੂੰ ਕਿੰਨੀ ਵਾਧੂ ਜਾਣਕਾਰੀ ਦਿੰਦਾ ਹੈ:

ਇੱਕ ਸਕ੍ਰੀਨਸ਼ੌਟ ਵਿੱਚ ਸਿਸਮੋਨ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ: ਇੱਕ ਪੜ੍ਹਨਯੋਗ ਰੂਪ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆ ਬਾਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ

ਤੁਸੀਂ ਨਾ ਸਿਰਫ਼ ਕਮਾਂਡ ਲਾਈਨ, ਸਗੋਂ ਫਾਈਲ ਦਾ ਨਾਮ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਮਾਰਗ, ਵਿੰਡੋਜ਼ ਨੂੰ ਇਸ ਬਾਰੇ ਕੀ ਜਾਣਦਾ ਹੈ ("ਵਿੰਡੋਜ਼ ਕਮਾਂਡ ਪ੍ਰੋਸੈਸਰ"), ਪਛਾਣਕਰਤਾ ਵੀ ਵੇਖੋਗੇ। ਮਾਤਾ-ਪਿਤਾ ਪ੍ਰਕਿਰਿਆ, ਕਮਾਂਡ ਲਾਈਨ ਮਾਪੇ, ਜਿਸ ਨੇ cmd ਸ਼ੈੱਲ ਨੂੰ ਲਾਂਚ ਕੀਤਾ, ਨਾਲ ਹੀ ਮੂਲ ਪ੍ਰਕਿਰਿਆ ਦਾ ਅਸਲ ਫਾਈਲ ਨਾਮ. ਸਭ ਕੁਝ ਇੱਕ ਥਾਂ ਤੇ, ਅੰਤ ਵਿੱਚ!
ਸਿਸਮੋਨ ਲੌਗ ਤੋਂ ਅਸੀਂ ਇਹ ਸਿੱਟਾ ਕੱਢ ਸਕਦੇ ਹਾਂ ਕਿ ਉੱਚ ਪੱਧਰੀ ਸੰਭਾਵਨਾ ਦੇ ਨਾਲ ਇਹ ਸ਼ੱਕੀ ਕਮਾਂਡ ਲਾਈਨ ਜੋ ਅਸੀਂ "ਕੱਚੇ" ਲੌਗਸ ਵਿੱਚ ਵੇਖੀ ਹੈ, ਕਰਮਚਾਰੀ ਦੇ ਆਮ ਕੰਮ ਦਾ ਨਤੀਜਾ ਨਹੀਂ ਹੈ। ਇਸਦੇ ਉਲਟ, ਇਹ ਇੱਕ C2-ਵਰਗੀ ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ - wmiexec, ਜਿਵੇਂ ਕਿ ਮੈਂ ਪਹਿਲਾਂ ਦੱਸਿਆ ਹੈ - ਅਤੇ WMI ਸੇਵਾ ਪ੍ਰਕਿਰਿਆ (WmiPrvSe) ਦੁਆਰਾ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਪੈਦਾ ਕੀਤਾ ਗਿਆ ਸੀ। ਹੁਣ ਸਾਡੇ ਕੋਲ ਇੱਕ ਸੂਚਕ ਹੈ ਕਿ ਇੱਕ ਰਿਮੋਟ ਹਮਲਾਵਰ ਜਾਂ ਅੰਦਰੂਨੀ ਕਾਰਪੋਰੇਟ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ।

Get-Sysmonlogs ਪੇਸ਼ ਕਰ ਰਹੇ ਹਾਂ

ਬੇਸ਼ੱਕ ਇਹ ਬਹੁਤ ਵਧੀਆ ਹੈ ਜਦੋਂ ਸਿਸਮੋਨ ਲੌਗਸ ਨੂੰ ਇੱਕ ਥਾਂ ਤੇ ਰੱਖਦਾ ਹੈ। ਪਰ ਇਹ ਸ਼ਾਇਦ ਹੋਰ ਵੀ ਵਧੀਆ ਹੋਵੇਗਾ ਜੇਕਰ ਅਸੀਂ ਵਿਅਕਤੀਗਤ ਲੌਗ ਫੀਲਡਾਂ ਨੂੰ ਪ੍ਰੋਗਰਾਮੇਟਿਕ ਤੌਰ 'ਤੇ ਐਕਸੈਸ ਕਰ ਸਕਦੇ ਹਾਂ - ਉਦਾਹਰਨ ਲਈ, PowerShell ਕਮਾਂਡਾਂ ਰਾਹੀਂ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਤੁਸੀਂ ਇੱਕ ਛੋਟੀ PowerShell ਸਕ੍ਰਿਪਟ ਲਿਖ ਸਕਦੇ ਹੋ ਜੋ ਸੰਭਾਵੀ ਖਤਰਿਆਂ ਦੀ ਖੋਜ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰੇਗੀ!
ਮੈਂ ਅਜਿਹਾ ਵਿਚਾਰ ਰੱਖਣ ਵਾਲਾ ਪਹਿਲਾ ਵਿਅਕਤੀ ਨਹੀਂ ਸੀ। ਅਤੇ ਇਹ ਚੰਗਾ ਹੈ ਕਿ ਕੁਝ ਫੋਰਮ ਪੋਸਟਾਂ ਅਤੇ GitHub ਵਿੱਚ ਪ੍ਰਾਜੈਕਟ ਇਹ ਪਹਿਲਾਂ ਹੀ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਸਿਸਮੋਨ ਲੌਗ ਨੂੰ ਪਾਰਸ ਕਰਨ ਲਈ PowerShell ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਮੇਰੇ ਕੇਸ ਵਿੱਚ, ਮੈਂ ਹਰੇਕ ਸਿਸਮੋਨ ਖੇਤਰ ਲਈ ਪਾਰਸਿੰਗ ਸਕ੍ਰਿਪਟ ਦੀਆਂ ਵੱਖਰੀਆਂ ਲਾਈਨਾਂ ਲਿਖਣ ਤੋਂ ਬਚਣਾ ਚਾਹੁੰਦਾ ਸੀ. ਇਸ ਲਈ ਮੈਂ ਆਲਸੀ ਆਦਮੀ ਸਿਧਾਂਤ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਅਤੇ ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਮੈਂ ਨਤੀਜੇ ਵਜੋਂ ਕੁਝ ਦਿਲਚਸਪ ਲੈ ਕੇ ਆਇਆ ਹਾਂ.
ਪਹਿਲਾ ਮਹੱਤਵਪੂਰਨ ਨੁਕਤਾ ਟੀਮ ਦੀ ਯੋਗਤਾ ਹੈ ਗੇਟ-ਵਿਨਵੈਂਟ ਸਿਸਮੋਨ ਲੌਗਸ ਨੂੰ ਪੜ੍ਹੋ, ਲੋੜੀਂਦੇ ਇਵੈਂਟਾਂ ਨੂੰ ਫਿਲਟਰ ਕਰੋ ਅਤੇ ਨਤੀਜਾ PS ਵੇਰੀਏਬਲ ਵਿੱਚ ਆਉਟਪੁੱਟ ਕਰੋ, ਜਿਵੇਂ ਕਿ ਇੱਥੇ:

$events = Get-WinEvent  -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}

ਜੇਕਰ ਤੁਸੀਂ ਆਪਣੇ ਆਪ ਕਮਾਂਡ ਦੀ ਜਾਂਚ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ $events ਐਰੇ, $events[0].ਸੰਦੇਸ਼ ਦੇ ਪਹਿਲੇ ਤੱਤ ਵਿੱਚ ਸਮੱਗਰੀ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਕੇ, ਆਉਟਪੁੱਟ ਇੱਕ ਬਹੁਤ ਹੀ ਸਧਾਰਨ ਫਾਰਮੈਟ ਨਾਲ ਟੈਕਸਟ ਸਤਰ ਦੀ ਇੱਕ ਲੜੀ ਹੋ ਸਕਦੀ ਹੈ: ਦਾ ਨਾਮ ਸਿਸਮੋਨ ਫੀਲਡ, ਇੱਕ ਕੌਲਨ, ਅਤੇ ਫਿਰ ਮੁੱਲ ਖੁਦ।

ਹੂਰੇ! JSON-ਤਿਆਰ ਫਾਰਮੈਟ ਵਿੱਚ ਸਿਸਮੋਨ ਲੌਗ ਆਉਟਪੁੱਟ ਕਰਨਾ

ਕੀ ਤੁਸੀਂ ਵੀ ਮੇਰੇ ਵਾਂਗ ਹੀ ਸੋਚ ਰਹੇ ਹੋ? ਥੋੜੀ ਹੋਰ ਕੋਸ਼ਿਸ਼ ਨਾਲ, ਤੁਸੀਂ ਆਉਟਪੁੱਟ ਨੂੰ JSON ਫਾਰਮੈਟਡ ਸਤਰ ਵਿੱਚ ਬਦਲ ਸਕਦੇ ਹੋ ਅਤੇ ਫਿਰ ਇੱਕ ਸ਼ਕਤੀਸ਼ਾਲੀ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਨੂੰ ਸਿੱਧੇ ਇੱਕ PS ਆਬਜੈਕਟ ਵਿੱਚ ਲੋਡ ਕਰ ਸਕਦੇ ਹੋ। ConvertFrom-Json .
ਮੈਂ ਪਰਿਵਰਤਨ ਲਈ PowerShell ਕੋਡ ਦਿਖਾਵਾਂਗਾ - ਇਹ ਬਹੁਤ ਸਧਾਰਨ ਹੈ - ਅਗਲੇ ਭਾਗ ਵਿੱਚ। ਹੁਣ ਲਈ, ਆਓ ਦੇਖੀਏ ਕਿ ਮੇਰੀ ਨਵੀਂ ਕਮਾਂਡ get-sysmonlogs, ਜਿਸ ਨੂੰ ਮੈਂ PS ਮੋਡੀਊਲ ਵਜੋਂ ਸਥਾਪਿਤ ਕੀਤਾ ਹੈ, ਕੀ ਕਰ ਸਕਦੀ ਹੈ।
ਇੱਕ ਅਸੁਵਿਧਾਜਨਕ ਇਵੈਂਟ ਲੌਗ ਇੰਟਰਫੇਸ ਦੁਆਰਾ ਸਿਸਮੋਨ ਲੌਗ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਡੂੰਘਾਈ ਵਿੱਚ ਗੋਤਾਖੋਰੀ ਕਰਨ ਦੀ ਬਜਾਏ, ਅਸੀਂ ਪਾਵਰਸ਼ੇਲ ਸੈਸ਼ਨ ਤੋਂ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਵਾਧੇ ਵਾਲੀ ਗਤੀਵਿਧੀ ਦੀ ਖੋਜ ਕਰ ਸਕਦੇ ਹਾਂ, ਨਾਲ ਹੀ PS ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਾਂ। ਜਿੱਥੇ ਕਿ (ਉਰਫ਼ - "?") ਖੋਜ ਨਤੀਜਿਆਂ ਨੂੰ ਛੋਟਾ ਕਰਨ ਲਈ:

WMI ਰਾਹੀਂ ਲਾਂਚ ਕੀਤੇ cmd ਸ਼ੈੱਲਾਂ ਦੀ ਸੂਚੀ। ਸਾਡੀ ਆਪਣੀ Get-Sysmonlogs ਟੀਮ ਨਾਲ ਸਸਤੇ 'ਤੇ ਧਮਕੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ

ਸ਼ਾਨਦਾਰ! ਮੈਂ ਸਿਸਮੋਨ ਲੌਗ ਨੂੰ ਪੋਲ ਕਰਨ ਲਈ ਇੱਕ ਟੂਲ ਬਣਾਇਆ ਹੈ ਜਿਵੇਂ ਕਿ ਇਹ ਇੱਕ ਡੇਟਾਬੇਸ ਸੀ। ਬਾਰੇ ਸਾਡੇ ਲੇਖ ਵਿਚ IQ ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਸੀ ਕਿ ਇਹ ਫੰਕਸ਼ਨ ਇਸ ਵਿੱਚ ਵਰਣਿਤ ਕੂਲ ਉਪਯੋਗਤਾ ਦੁਆਰਾ ਕੀਤਾ ਜਾਵੇਗਾ, ਹਾਲਾਂਕਿ ਰਸਮੀ ਤੌਰ 'ਤੇ ਅਜੇ ਵੀ ਅਸਲ SQL-ਵਰਗੇ ਇੰਟਰਫੇਸ ਦੁਆਰਾ। ਹਾਂ, EQL ਸ਼ਾਨਦਾਰ, ਪਰ ਅਸੀਂ ਇਸ ਨੂੰ ਤੀਜੇ ਭਾਗ ਵਿੱਚ ਛੂਹਾਂਗੇ।

ਸਿਸਮੋਨ ਅਤੇ ਗ੍ਰਾਫ ਵਿਸ਼ਲੇਸ਼ਣ

ਆਉ ਪਿੱਛੇ ਹਟ ਕੇ ਸੋਚੀਏ ਕਿ ਅਸੀਂ ਹੁਣੇ ਕੀ ਬਣਾਇਆ ਹੈ। ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ, ਸਾਡੇ ਕੋਲ ਹੁਣ PowerShell ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਡਾਟਾਬੇਸ ਹੈ। ਜਿਵੇਂ ਕਿ ਮੈਂ ਪਹਿਲਾਂ ਨੋਟ ਕੀਤਾ ਹੈ, ਰਿਕਾਰਡਾਂ ਵਿਚਕਾਰ ਸਬੰਧ ਜਾਂ ਸਬੰਧ ਹਨ - ParentProcessId ਦੁਆਰਾ - ਇਸ ਲਈ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਇੱਕ ਪੂਰੀ ਲੜੀ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਜੇਕਰ ਤੁਸੀਂ ਲੜੀ ਪੜ੍ਹੀ ਹੈ "ਇਲੂਸਿਵ ਮਾਲਵੇਅਰ ਦੇ ਸਾਹਸ" ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਹੈਕਰ ਗੁੰਝਲਦਾਰ ਬਹੁ-ਪੜਾਅ ਦੇ ਹਮਲੇ ਬਣਾਉਣਾ ਪਸੰਦ ਕਰਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਹਰੇਕ ਪ੍ਰਕਿਰਿਆ ਆਪਣੀ ਛੋਟੀ ਭੂਮਿਕਾ ਨਿਭਾਉਂਦੀ ਹੈ ਅਤੇ ਅਗਲੇ ਪੜਾਅ ਲਈ ਇੱਕ ਸਪਰਿੰਗਬੋਰਡ ਤਿਆਰ ਕਰਦੀ ਹੈ। ਅਜਿਹੀਆਂ ਚੀਜ਼ਾਂ ਨੂੰ ਸਿਰਫ਼ "ਕੱਚੇ" ਲੌਗ ਤੋਂ ਫੜਨਾ ਬਹੁਤ ਮੁਸ਼ਕਲ ਹੈ।
ਪਰ ਮੇਰੀ Get-Sysmonlogs ਕਮਾਂਡ ਅਤੇ ਇੱਕ ਵਾਧੂ ਡੇਟਾ ਢਾਂਚੇ ਦੇ ਨਾਲ ਅਸੀਂ ਬਾਅਦ ਵਿੱਚ ਟੈਕਸਟ ਵਿੱਚ ਦੇਖਾਂਗੇ (ਇੱਕ ਗ੍ਰਾਫ, ਬੇਸ਼ੱਕ), ਸਾਡੇ ਕੋਲ ਖਤਰਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦਾ ਇੱਕ ਵਿਹਾਰਕ ਤਰੀਕਾ ਹੈ - ਜਿਸ ਲਈ ਸਿਰਫ਼ ਸਹੀ ਸਿਰਲੇਖ ਖੋਜ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।
ਸਾਡੇ DYI ਬਲੌਗ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਨਾਲ ਹਮੇਸ਼ਾ ਵਾਂਗ, ਤੁਸੀਂ ਛੋਟੇ ਪੈਮਾਨੇ 'ਤੇ ਖਤਰਿਆਂ ਦੇ ਵੇਰਵਿਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਜਿੰਨਾ ਜ਼ਿਆਦਾ ਕੰਮ ਕਰੋਗੇ, ਉੱਨਾ ਹੀ ਜ਼ਿਆਦਾ ਤੁਹਾਨੂੰ ਇਹ ਅਹਿਸਾਸ ਹੋਵੇਗਾ ਕਿ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਪੱਧਰ 'ਤੇ ਖ਼ਤਰੇ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਕਿੰਨਾ ਗੁੰਝਲਦਾਰ ਹੈ। ਅਤੇ ਇਹ ਜਾਗਰੂਕਤਾ ਬਹੁਤ ਹੈ ਮਹੱਤਵਪੂਰਨ ਬਿੰਦੂ.

ਅਸੀਂ ਲੇਖ ਦੇ ਦੂਜੇ ਭਾਗ ਵਿੱਚ ਪਹਿਲੀ ਦਿਲਚਸਪ ਪੇਚੀਦਗੀਆਂ ਦਾ ਸਾਹਮਣਾ ਕਰਾਂਗੇ, ਜਿੱਥੇ ਅਸੀਂ ਸਿਸਮੋਨ ਦੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਇੱਕ ਦੂਜੇ ਨਾਲ ਬਹੁਤ ਜ਼ਿਆਦਾ ਗੁੰਝਲਦਾਰ ਬਣਤਰਾਂ ਵਿੱਚ ਜੋੜਨਾ ਸ਼ੁਰੂ ਕਰਾਂਗੇ।

ਸਰੋਤ: www.habr.com