ਅਸੀਂ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਸ਼ੱਕੀ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਸ਼ੁਰੂਆਤ ਬਾਰੇ ਘਟਨਾਵਾਂ ਦੇ ਸੰਗ੍ਰਹਿ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹਾਂ ਅਤੇ Quest InTrust ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਖਤਰਿਆਂ ਦੀ ਪਛਾਣ ਕਰਦੇ ਹਾਂ

ਹਮਲਿਆਂ ਦੀਆਂ ਸਭ ਤੋਂ ਆਮ ਕਿਸਮਾਂ ਵਿੱਚੋਂ ਇੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸਤਿਕਾਰਯੋਗ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ ਅਧੀਨ ਇੱਕ ਰੁੱਖ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਪ੍ਰਕਿਰਿਆ ਦਾ ਫੈਲਣਾ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦਾ ਮਾਰਗ ਸ਼ੱਕੀ ਹੋ ਸਕਦਾ ਹੈ: ਮਾਲਵੇਅਰ ਅਕਸਰ ਐਪਡਾਟਾ ਜਾਂ ਟੈਂਪ ਫੋਲਡਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਜਾਇਜ਼ ਪ੍ਰੋਗਰਾਮਾਂ ਲਈ ਆਮ ਨਹੀਂ ਹੈ। ਨਿਰਪੱਖ ਹੋਣ ਲਈ, ਇਹ ਕਹਿਣਾ ਮਹੱਤਵਪੂਰਣ ਹੈ ਕਿ ਐਪਡਾਟਾ ਵਿੱਚ ਕੁਝ ਆਟੋਮੈਟਿਕ ਅੱਪਡੇਟ ਉਪਯੋਗਤਾਵਾਂ ਨੂੰ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਸਿਰਫ ਲਾਂਚ ਸਥਾਨ ਦੀ ਜਾਂਚ ਕਰਨਾ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ ਕਿ ਪ੍ਰੋਗਰਾਮ ਖਤਰਨਾਕ ਹੈ।

ਜਾਇਜ਼ਤਾ ਦਾ ਇੱਕ ਵਾਧੂ ਕਾਰਕ ਇੱਕ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਦਸਤਖਤ ਹੈ: ਬਹੁਤ ਸਾਰੇ ਅਸਲੀ ਪ੍ਰੋਗਰਾਮ ਵਿਕਰੇਤਾ ਦੁਆਰਾ ਹਸਤਾਖਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਤੁਸੀਂ ਇਸ ਤੱਥ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ਕਿ ਸ਼ੱਕੀ ਸ਼ੁਰੂਆਤੀ ਆਈਟਮਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇੱਕ ਢੰਗ ਵਜੋਂ ਕੋਈ ਦਸਤਖਤ ਨਹੀਂ ਹਨ. ਪਰ ਫਿਰ ਇੱਥੇ ਮਾਲਵੇਅਰ ਹੈ ਜੋ ਆਪਣੇ ਆਪ ਨੂੰ ਹਸਤਾਖਰ ਕਰਨ ਲਈ ਇੱਕ ਚੋਰੀ ਹੋਏ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

ਤੁਸੀਂ MD5 ਜਾਂ SHA256 ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਹੈਸ਼ਾਂ ਦੇ ਮੁੱਲ ਦੀ ਵੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਕਿ ਕੁਝ ਪਹਿਲਾਂ ਖੋਜੇ ਗਏ ਮਾਲਵੇਅਰ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੋ ਸਕਦਾ ਹੈ। ਤੁਸੀਂ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਦਸਤਖਤਾਂ ਨੂੰ ਦੇਖ ਕੇ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਸਕਦੇ ਹੋ (ਯਾਰਾ ਨਿਯਮਾਂ ਜਾਂ ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ)। ਗਤੀਸ਼ੀਲ ਵਿਸ਼ਲੇਸ਼ਣ (ਕੁਝ ਸੁਰੱਖਿਅਤ ਵਾਤਾਵਰਣ ਵਿੱਚ ਇੱਕ ਪ੍ਰੋਗਰਾਮ ਚਲਾਉਣਾ ਅਤੇ ਇਸ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ) ਅਤੇ ਰਿਵਰਸ ਇੰਜੀਨੀਅਰਿੰਗ ਵੀ ਹੈ।

ਇੱਕ ਖਤਰਨਾਕ ਪ੍ਰਕਿਰਿਆ ਦੇ ਬਹੁਤ ਸਾਰੇ ਸੰਕੇਤ ਹੋ ਸਕਦੇ ਹਨ। ਇਸ ਲੇਖ ਵਿੱਚ ਅਸੀਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗੇ ਕਿ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਸੰਬੰਧਿਤ ਘਟਨਾਵਾਂ ਦੀ ਆਡਿਟਿੰਗ ਨੂੰ ਕਿਵੇਂ ਸਮਰੱਥ ਬਣਾਇਆ ਜਾਵੇ, ਅਸੀਂ ਉਹਨਾਂ ਸੰਕੇਤਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਾਂਗੇ ਜੋ ਬਿਲਟ-ਇਨ ਨਿਯਮ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹਨ। InTrust ਇੱਕ ਸ਼ੱਕੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ. InTrust ਹੈ CLM ਪਲੇਟਫਾਰਮ ਗੈਰ-ਸੰਗਠਿਤ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਨ, ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਅਤੇ ਸਟੋਰ ਕਰਨ ਲਈ, ਜਿਸ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਕਈ ਕਿਸਮ ਦੇ ਹਮਲਿਆਂ ਲਈ ਸੈਂਕੜੇ ਪੂਰਵ-ਪ੍ਰਭਾਸ਼ਿਤ ਪ੍ਰਤੀਕਰਮ ਹਨ।

ਜਦੋਂ ਪ੍ਰੋਗਰਾਮ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਕੰਪਿਊਟਰ ਦੀ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਹੋ ਜਾਂਦਾ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਵਿੱਚ ਕੰਪਿਊਟਰ ਨਿਰਦੇਸ਼ ਅਤੇ ਸਹਾਇਕ ਲਾਇਬ੍ਰੇਰੀਆਂ (ਉਦਾਹਰਨ ਲਈ, *.dll) ਸ਼ਾਮਲ ਹਨ। ਜਦੋਂ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਪਹਿਲਾਂ ਹੀ ਚੱਲ ਰਹੀ ਹੈ, ਤਾਂ ਇਹ ਵਾਧੂ ਥ੍ਰੈਡ ਬਣਾ ਸਕਦੀ ਹੈ। ਥ੍ਰੈੱਡ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਇੱਕੋ ਸਮੇਂ ਨਿਰਦੇਸ਼ਾਂ ਦੇ ਵੱਖ-ਵੱਖ ਸੈੱਟਾਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ। ਮੈਮੋਰੀ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਕਰਨ ਅਤੇ ਚਲਾਉਣ ਲਈ ਖਤਰਨਾਕ ਕੋਡ ਦੇ ਬਹੁਤ ਸਾਰੇ ਤਰੀਕੇ ਹਨ, ਆਓ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੁਝ ਨੂੰ ਵੇਖੀਏ।

ਇੱਕ ਖਤਰਨਾਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਦਾ ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ ਉਪਭੋਗਤਾ ਨੂੰ ਇਸਨੂੰ ਸਿੱਧਾ ਲਾਂਚ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਨਾ (ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਈਮੇਲ ਅਟੈਚਮੈਂਟ ਤੋਂ), ਫਿਰ ਹਰ ਵਾਰ ਕੰਪਿਊਟਰ ਦੇ ਚਾਲੂ ਹੋਣ 'ਤੇ ਇਸਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ RunOnce ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰੋ। ਇਸ ਵਿੱਚ "ਫਾਈਲ ਰਹਿਤ" ਮਾਲਵੇਅਰ ਵੀ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ ਜੋ ਪਾਵਰਸ਼ੇਲ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਰਜਿਸਟਰੀ ਕੁੰਜੀਆਂ ਵਿੱਚ ਸਟੋਰ ਕਰਦਾ ਹੈ ਜੋ ਇੱਕ ਟਰਿੱਗਰ ਦੇ ਆਧਾਰ 'ਤੇ ਚਲਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, PowerShell ਸਕ੍ਰਿਪਟ ਖਤਰਨਾਕ ਕੋਡ ਹੈ।

ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਚੱਲ ਰਹੇ ਮਾਲਵੇਅਰ ਨਾਲ ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਇਹ ਇੱਕ ਜਾਣੀ-ਪਛਾਣੀ ਪਹੁੰਚ ਹੈ ਜੋ ਆਸਾਨੀ ਨਾਲ ਖੋਜੀ ਜਾਂਦੀ ਹੈ। ਕੁਝ ਮਾਲਵੇਅਰ ਵਧੇਰੇ ਚਲਾਕ ਕੰਮ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਮੈਮੋਰੀ ਵਿੱਚ ਚਲਾਉਣਾ ਸ਼ੁਰੂ ਕਰਨ ਲਈ ਕਿਸੇ ਹੋਰ ਪ੍ਰਕਿਰਿਆ ਦੀ ਵਰਤੋਂ ਕਰਨਾ। ਇਸ ਲਈ, ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਇੱਕ ਖਾਸ ਕੰਪਿਊਟਰ ਨਿਰਦੇਸ਼ ਨੂੰ ਚਲਾ ਕੇ ਅਤੇ ਚਲਾਉਣ ਲਈ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ (.exe) ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਕੇ ਇੱਕ ਹੋਰ ਪ੍ਰਕਿਰਿਆ ਬਣਾ ਸਕਦੀ ਹੈ।

ਫਾਈਲ ਨੂੰ ਇੱਕ ਪੂਰਾ ਮਾਰਗ (ਉਦਾਹਰਨ ਲਈ, C:Windowssystem32cmd.exe) ਜਾਂ ਇੱਕ ਅੰਸ਼ਕ ਮਾਰਗ (ਉਦਾਹਰਨ ਲਈ, cmd.exe) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਅਸਲੀ ਪ੍ਰਕਿਰਿਆ ਅਸੁਰੱਖਿਅਤ ਹੈ, ਤਾਂ ਇਹ ਨਾਜਾਇਜ਼ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗੀ। ਇੱਕ ਹਮਲਾ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦੇ ਸਕਦਾ ਹੈ: ਇੱਕ ਪ੍ਰਕਿਰਿਆ cmd.exe ਨੂੰ ਪੂਰਾ ਮਾਰਗ ਦਰਸਾਏ ਬਿਨਾਂ ਲਾਂਚ ਕਰਦੀ ਹੈ, ਹਮਲਾਵਰ ਆਪਣੇ cmd.exe ਨੂੰ ਇੱਕ ਜਗ੍ਹਾ ਤੇ ਰੱਖਦਾ ਹੈ ਤਾਂ ਜੋ ਪ੍ਰਕਿਰਿਆ ਇਸਨੂੰ ਜਾਇਜ਼ ਤੋਂ ਪਹਿਲਾਂ ਲਾਂਚ ਕਰ ਸਕੇ। ਇੱਕ ਵਾਰ ਮਾਲਵੇਅਰ ਚੱਲਦਾ ਹੈ, ਇਹ ਬਦਲੇ ਵਿੱਚ ਇੱਕ ਜਾਇਜ਼ ਪ੍ਰੋਗਰਾਮ (ਜਿਵੇਂ ਕਿ C:Windowssystem32cmd.exe) ਲਾਂਚ ਕਰ ਸਕਦਾ ਹੈ ਤਾਂ ਜੋ ਅਸਲ ਪ੍ਰੋਗਰਾਮ ਸਹੀ ਢੰਗ ਨਾਲ ਕੰਮ ਕਰਨਾ ਜਾਰੀ ਰੱਖੇ।

ਪਿਛਲੇ ਹਮਲੇ ਦੀ ਇੱਕ ਪਰਿਵਰਤਨ ਇੱਕ ਜਾਇਜ਼ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ DLL ਟੀਕਾ ਹੈ. ਜਦੋਂ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ, ਇਹ ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਲੱਭਦਾ ਅਤੇ ਲੋਡ ਕਰਦਾ ਹੈ ਜੋ ਇਸਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਵਧਾਉਂਦਾ ਹੈ। DLL ਇੰਜੈਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਜਾਇਜ਼ ਨਾਮ ਅਤੇ API ਦੇ ਨਾਲ ਇੱਕ ਖਤਰਨਾਕ ਲਾਇਬ੍ਰੇਰੀ ਬਣਾਉਂਦਾ ਹੈ। ਪ੍ਰੋਗਰਾਮ ਇੱਕ ਖਤਰਨਾਕ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ, ਬਦਲੇ ਵਿੱਚ, ਇੱਕ ਜਾਇਜ਼ ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ, ਅਤੇ, ਲੋੜ ਪੈਣ 'ਤੇ, ਇਸਨੂੰ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ਕਾਲ ਕਰਦਾ ਹੈ। ਖ਼ਰਾਬ ਲਾਇਬ੍ਰੇਰੀ ਚੰਗੀ ਲਾਇਬ੍ਰੇਰੀ ਲਈ ਪ੍ਰੌਕਸੀ ਵਜੋਂ ਕੰਮ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੰਦੀ ਹੈ।

ਮੈਮੋਰੀ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਪਾਉਣ ਦਾ ਇੱਕ ਹੋਰ ਤਰੀਕਾ ਹੈ ਇਸਨੂੰ ਇੱਕ ਅਸੁਰੱਖਿਅਤ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨਾ ਜੋ ਪਹਿਲਾਂ ਹੀ ਚੱਲ ਰਹੀ ਹੈ। ਪ੍ਰਕਿਰਿਆਵਾਂ ਵੱਖ-ਵੱਖ ਸਰੋਤਾਂ ਤੋਂ ਇਨਪੁਟ ਪ੍ਰਾਪਤ ਕਰਦੀਆਂ ਹਨ - ਨੈਟਵਰਕ ਜਾਂ ਫਾਈਲਾਂ ਤੋਂ ਪੜ੍ਹਨਾ। ਉਹ ਆਮ ਤੌਰ 'ਤੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਜਾਂਚ ਕਰਦੇ ਹਨ ਕਿ ਇੰਪੁੱਟ ਜਾਇਜ਼ ਹੈ। ਪਰ ਕੁਝ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਨਿਰਦੇਸ਼ਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵੇਲੇ ਸਹੀ ਸੁਰੱਖਿਆ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। ਇਸ ਹਮਲੇ ਵਿੱਚ, ਡਿਸਕ ਜਾਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ 'ਤੇ ਕੋਈ ਲਾਇਬ੍ਰੇਰੀ ਨਹੀਂ ਹੈ ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਹੈ। ਸ਼ੋਸ਼ਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਨਾਲ ਹਰ ਚੀਜ਼ ਮੈਮੋਰੀ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ.

ਆਉ ਹੁਣ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਅਜਿਹੀਆਂ ਘਟਨਾਵਾਂ ਦੇ ਸੰਗ੍ਰਹਿ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣ ਦੀ ਵਿਧੀ ਅਤੇ InTrust ਵਿੱਚ ਨਿਯਮ ਨੂੰ ਵੇਖੀਏ ਜੋ ਅਜਿਹੇ ਖਤਰਿਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਪਹਿਲਾਂ, ਆਓ ਇਸਨੂੰ InTrust ਪ੍ਰਬੰਧਨ ਕੰਸੋਲ ਦੁਆਰਾ ਕਿਰਿਆਸ਼ੀਲ ਕਰੀਏ।

ਨਿਯਮ ਵਿੰਡੋਜ਼ ਓਐਸ ਦੀ ਪ੍ਰਕਿਰਿਆ ਟਰੈਕਿੰਗ ਸਮਰੱਥਾ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਅਜਿਹੀਆਂ ਘਟਨਾਵਾਂ ਦੇ ਸੰਗ੍ਰਹਿ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਾ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ। ਇੱਥੇ 3 ਵੱਖ-ਵੱਖ ਸਮੂਹ ਨੀਤੀ ਸੈਟਿੰਗਾਂ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਤੁਹਾਨੂੰ ਬਦਲਣ ਦੀ ਲੋੜ ਹੈ:

ਕੰਪਿਊਟਰ ਕੌਂਫਿਗਰੇਸ਼ਨ > ਨੀਤੀਆਂ > ਵਿੰਡੋਜ਼ ਸੈਟਿੰਗਾਂ > ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ > ਸਥਾਨਕ ਨੀਤੀਆਂ > ਆਡਿਟ ਨੀਤੀ > ਆਡਿਟ ਪ੍ਰਕਿਰਿਆ ਟਰੈਕਿੰਗ

ਕੰਪਿਊਟਰ ਕੌਂਫਿਗਰੇਸ਼ਨ > ਨੀਤੀਆਂ > ਵਿੰਡੋਜ਼ ਸੈਟਿੰਗਾਂ > ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ > ਐਡਵਾਂਸਡ ਆਡਿਟ ਨੀਤੀ ਕੌਂਫਿਗਰੇਸ਼ਨ > ਆਡਿਟ ਨੀਤੀਆਂ > ਵਿਸਤ੍ਰਿਤ ਟ੍ਰੈਕਿੰਗ > ਆਡਿਟ ਪ੍ਰਕਿਰਿਆ ਰਚਨਾ

ਕੰਪਿਊਟਰ ਕੌਂਫਿਗਰੇਸ਼ਨ > ਨੀਤੀਆਂ > ਪ੍ਰਬੰਧਕੀ ਨਮੂਨੇ > ਸਿਸਟਮ > ਆਡਿਟ ਪ੍ਰਕਿਰਿਆ ਰਚਨਾ > ਪ੍ਰਕਿਰਿਆ ਸਿਰਜਣ ਸਮਾਗਮਾਂ ਵਿੱਚ ਕਮਾਂਡ ਲਾਈਨ ਸ਼ਾਮਲ ਕਰੋ

ਇੱਕ ਵਾਰ ਸਮਰੱਥ ਹੋਣ 'ਤੇ, InTrust ਨਿਯਮ ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਤੋਂ ਅਣਜਾਣ ਖਤਰਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ ਜੋ ਸ਼ੱਕੀ ਵਿਵਹਾਰ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਪਛਾਣ ਸਕਦੇ ਹੋ ਇੱਥੇ ਦੱਸਿਆ ਗਿਆ ਹੈ Dridex ਮਾਲਵੇਅਰ। ਐਚਪੀ ਬ੍ਰੋਮੀਅਮ ਪ੍ਰੋਜੈਕਟ ਲਈ ਧੰਨਵਾਦ, ਅਸੀਂ ਜਾਣਦੇ ਹਾਂ ਕਿ ਇਹ ਧਮਕੀ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ।

ਇਸ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਲੜੀ ਵਿੱਚ, ਡਰਾਈਡੈਕਸ ਇੱਕ ਅਨੁਸੂਚਿਤ ਕਾਰਜ ਬਣਾਉਣ ਲਈ schtasks.exe ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਕਮਾਂਡ ਲਾਈਨ ਤੋਂ ਇਸ ਵਿਸ਼ੇਸ਼ ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਬਹੁਤ ਸ਼ੱਕੀ ਵਿਵਹਾਰ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ; svchost.exe ਨੂੰ ਉਹਨਾਂ ਪੈਰਾਮੀਟਰਾਂ ਨਾਲ ਲਾਂਚ ਕਰਨਾ ਜੋ ਉਪਭੋਗਤਾ ਫੋਲਡਰਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ ਜਾਂ "ਨੈੱਟ ਵਿਊ" ਜਾਂ "whoami" ਕਮਾਂਡਾਂ ਦੇ ਸਮਾਨ ਪੈਰਾਮੀਟਰਾਂ ਨਾਲ ਸਮਾਨ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ। ਇੱਥੇ ਅਨੁਸਾਰੀ ਦਾ ਇੱਕ ਟੁਕੜਾ ਹੈ ਸਿਗਮਾ ਨਿਯਮ:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust ਵਿੱਚ, ਸਾਰੇ ਸ਼ੱਕੀ ਵਿਵਹਾਰ ਨੂੰ ਇੱਕ ਨਿਯਮ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿਉਂਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਜ਼ਿਆਦਾਤਰ ਕਾਰਵਾਈਆਂ ਕਿਸੇ ਖਾਸ ਖਤਰੇ ਲਈ ਖਾਸ ਨਹੀਂ ਹਨ, ਸਗੋਂ ਇੱਕ ਕੰਪਲੈਕਸ ਵਿੱਚ ਸ਼ੱਕੀ ਹਨ ਅਤੇ 99% ਮਾਮਲਿਆਂ ਵਿੱਚ ਪੂਰੀ ਤਰ੍ਹਾਂ ਨੇਕ ਉਦੇਸ਼ਾਂ ਲਈ ਨਹੀਂ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਕਾਰਵਾਈਆਂ ਦੀ ਇਸ ਸੂਚੀ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ, ਪਰ ਇਹਨਾਂ ਤੱਕ ਸੀਮਿਤ ਨਹੀਂ ਹੈ:

• ਅਸਾਧਾਰਨ ਸਥਾਨਾਂ ਤੋਂ ਚੱਲ ਰਹੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ, ਜਿਵੇਂ ਕਿ ਉਪਭੋਗਤਾ ਅਸਥਾਈ ਫੋਲਡਰ।
• ਸ਼ੱਕੀ ਵਿਰਾਸਤ ਨਾਲ ਜਾਣੀ-ਪਛਾਣੀ ਸਿਸਟਮ ਪ੍ਰਕਿਰਿਆ - ਕੁਝ ਖਤਰੇ ਅਣਪਛਾਤੇ ਰਹਿਣ ਲਈ ਸਿਸਟਮ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ ਨਾਮ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦੇ ਹਨ।
• ਪ੍ਰਬੰਧਕੀ ਟੂਲਾਂ ਜਿਵੇਂ ਕਿ cmd ਜਾਂ PsExec ਦੇ ਸ਼ੱਕੀ ਅਮਲ ਜਦੋਂ ਉਹ ਸਥਾਨਕ ਸਿਸਟਮ ਪ੍ਰਮਾਣ ਪੱਤਰ ਜਾਂ ਸ਼ੱਕੀ ਵਿਰਾਸਤ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।
• ਇੱਕ ਸਿਸਟਮ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੱਕੀ ਸ਼ੈਡੋ ਕਾਪੀ ਓਪਰੇਸ਼ਨ ਰੈਨਸਮਵੇਅਰ ਵਾਇਰਸਾਂ ਦਾ ਇੱਕ ਆਮ ਵਿਵਹਾਰ ਹੈ; ਉਹ ਬੈਕਅੱਪ ਨੂੰ ਖਤਮ ਕਰਦੇ ਹਨ:

  - vssadmin.exe ਦੁਆਰਾ;
  - WMI ਦੁਆਰਾ।

• ਪੂਰੀ ਰਜਿਸਟਰੀ ਛਪਾਕੀ ਦੇ ਡੰਪ ਰਜਿਸਟਰ ਕਰੋ.
• ਜਦੋਂ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਰਿਮੋਟਲੀ ਕਮਾਂਡਾਂ ਜਿਵੇਂ ਕਿ at.exe ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਤਾਂ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਹਰੀਜ਼ਟਲ ਗਤੀ।
• net.exe ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸ਼ੱਕੀ ਸਥਾਨਕ ਸਮੂਹ ਓਪਰੇਸ਼ਨ ਅਤੇ ਡੋਮੇਨ ਓਪਰੇਸ਼ਨ।
• netsh.exe ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸ਼ੱਕੀ ਫਾਇਰਵਾਲ ਗਤੀਵਿਧੀ।
• ACL ਦੀ ਸ਼ੱਕੀ ਹੇਰਾਫੇਰੀ.
• ਡਾਟਾ ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਲਈ BITS ਦੀ ਵਰਤੋਂ ਕਰਨਾ।
• WMI ਨਾਲ ਸ਼ੱਕੀ ਹੇਰਾਫੇਰੀ।
• ਸ਼ੱਕੀ ਸਕ੍ਰਿਪਟ ਕਮਾਂਡਾਂ।
• ਸੁਰੱਖਿਅਤ ਸਿਸਟਮ ਫਾਈਲਾਂ ਨੂੰ ਡੰਪ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼।

ਸੰਯੁਕਤ ਨਿਯਮ RUYK, LockerGoga ਅਤੇ ਹੋਰ ਰੈਨਸਮਵੇਅਰ, ਮਾਲਵੇਅਰ ਅਤੇ ਸਾਈਬਰ ਕ੍ਰਾਈਮ ਟੂਲਕਿੱਟਾਂ ਵਰਗੇ ਖਤਰਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਬਹੁਤ ਵਧੀਆ ਢੰਗ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ। ਗਲਤ ਸਕਾਰਾਤਮਕ ਨੂੰ ਘੱਟ ਕਰਨ ਲਈ ਵਿਕਰੇਤਾ ਦੁਆਰਾ ਉਤਪਾਦਨ ਦੇ ਵਾਤਾਵਰਣ ਵਿੱਚ ਨਿਯਮ ਦੀ ਜਾਂਚ ਕੀਤੀ ਗਈ ਹੈ। ਅਤੇ ਸਿਗਮਾ ਪ੍ਰੋਜੈਕਟ ਲਈ ਧੰਨਵਾਦ, ਇਹਨਾਂ ਵਿੱਚੋਂ ਜ਼ਿਆਦਾਤਰ ਸੂਚਕ ਘੱਟ ਤੋਂ ਘੱਟ ਸ਼ੋਰ ਇਵੈਂਟਸ ਪੈਦਾ ਕਰਦੇ ਹਨ।

ਕਿਉਂਕਿ InTrust ਵਿੱਚ ਇਹ ਇੱਕ ਨਿਗਰਾਨੀ ਨਿਯਮ ਹੈ, ਤੁਸੀਂ ਇੱਕ ਖ਼ਤਰੇ ਦੇ ਪ੍ਰਤੀਕਰਮ ਵਜੋਂ ਇੱਕ ਜਵਾਬ ਸਕ੍ਰਿਪਟ ਨੂੰ ਚਲਾ ਸਕਦੇ ਹੋ। ਤੁਸੀਂ ਬਿਲਟ-ਇਨ ਸਕ੍ਰਿਪਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ਜਾਂ ਆਪਣੀ ਖੁਦ ਦੀ ਬਣਾ ਸਕਦੇ ਹੋ ਅਤੇ InTrust ਇਸਨੂੰ ਆਪਣੇ ਆਪ ਹੀ ਵੰਡ ਦੇਵੇਗਾ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਤੁਸੀਂ ਸਾਰੇ ਇਵੈਂਟ-ਸਬੰਧਤ ਟੈਲੀਮੈਟਰੀ ਦਾ ਮੁਆਇਨਾ ਕਰ ਸਕਦੇ ਹੋ: PowerShell ਸਕ੍ਰਿਪਟਾਂ, ਪ੍ਰਕਿਰਿਆ ਐਗਜ਼ੀਕਿਊਸ਼ਨ, ਅਨੁਸੂਚਿਤ ਟਾਸਕ ਹੇਰਾਫੇਰੀ, WMI ਪ੍ਰਬੰਧਕੀ ਗਤੀਵਿਧੀ, ਅਤੇ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਦੌਰਾਨ ਪੋਸਟ-ਮਾਰਟਮ ਲਈ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ।

InTrust ਦੇ ਸੈਂਕੜੇ ਹੋਰ ਨਿਯਮ ਹਨ, ਉਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ:

• PowerShell ਡਾਊਨਗ੍ਰੇਡ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਉਦੋਂ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਜਾਣਬੁੱਝ ਕੇ PowerShell ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ... ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਵਿੱਚ ਆਡਿਟ ਕਰਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਸੀ ਕਿ ਕੀ ਹੋ ਰਿਹਾ ਸੀ।
• ਹਾਈ-ਪ੍ਰੀਵਲੇਜ ਲੌਗਆਨ ਖੋਜ ਉਦੋਂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਖਾਤੇ ਜੋ ਕਿਸੇ ਖਾਸ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਲੇ ਸਮੂਹ ਦੇ ਮੈਂਬਰ ਹੁੰਦੇ ਹਨ (ਜਿਵੇਂ ਕਿ ਡੋਮੇਨ ਪ੍ਰਸ਼ਾਸਕ) ਦੁਰਘਟਨਾ ਦੁਆਰਾ ਜਾਂ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਦੇ ਕਾਰਨ ਵਰਕਸਟੇਸ਼ਨਾਂ 'ਤੇ ਲੌਗ ਆਨ ਹੁੰਦੇ ਹਨ।

InTrust ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਤੋਂ ਪਰਿਭਾਸ਼ਿਤ ਖੋਜ ਅਤੇ ਪ੍ਰਤੀਕਿਰਿਆ ਨਿਯਮਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਸਭ ਤੋਂ ਵਧੀਆ ਸੁਰੱਖਿਆ ਅਭਿਆਸਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਅਤੇ ਜੇਕਰ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ ਕਿ ਕਿਸੇ ਚੀਜ਼ ਨੂੰ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਨਿਯਮ ਦੀ ਆਪਣੀ ਕਾਪੀ ਬਣਾ ਸਕਦੇ ਹੋ ਅਤੇ ਇਸਨੂੰ ਲੋੜ ਅਨੁਸਾਰ ਕੌਂਫਿਗਰ ਕਰ ਸਕਦੇ ਹੋ। ਤੁਸੀਂ ਪਾਇਲਟ ਕਰਵਾਉਣ ਜਾਂ ਅਸਥਾਈ ਲਾਇਸੈਂਸਾਂ ਨਾਲ ਵੰਡ ਕਿੱਟਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਅਰਜ਼ੀ ਜਮ੍ਹਾਂ ਕਰ ਸਕਦੇ ਹੋ ਫੀਡਬੈਕ ਫਾਰਮ ਸਾਡੀ ਵੈਬਸਾਈਟ 'ਤੇ.

ਸਾਡੇ ਲਈ ਗਾਹਕ ਬਣੋ ਫੇਸਬੁੱਕ ਪੇਜ, ਅਸੀਂ ਉੱਥੇ ਛੋਟੇ ਨੋਟਸ ਅਤੇ ਦਿਲਚਸਪ ਲਿੰਕ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦੇ ਹਾਂ।

ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ 'ਤੇ ਸਾਡੇ ਹੋਰ ਲੇਖ ਪੜ੍ਹੋ:

InTrust RDP ਦੁਆਰਾ ਅਸਫ਼ਲ ਪ੍ਰਮਾਣੀਕਰਨ ਕੋਸ਼ਿਸ਼ਾਂ ਦੀ ਦਰ ਨੂੰ ਘਟਾਉਣ ਵਿੱਚ ਕਿਵੇਂ ਮਦਦ ਕਰ ਸਕਦਾ ਹੈ

ਅਸੀਂ ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਂਦੇ ਹਾਂ, ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਦੇ ਹਾਂ ਅਤੇ ਇਹਨਾਂ ਹਮਲਿਆਂ ਦਾ ਵਿਰੋਧ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਾਂ

ਵਿੰਡੋਜ਼-ਅਧਾਰਤ ਵਰਕਸਟੇਸ਼ਨ ਦੇ ਲੌਗਸ ਤੋਂ ਕਿਹੜੀਆਂ ਉਪਯੋਗੀ ਚੀਜ਼ਾਂ ਕੱਢੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ? (ਪ੍ਰਸਿੱਧ ਲੇਖ)

ਪਲੇਅਰ ਜਾਂ ਡਕਟ ਟੇਪ ਤੋਂ ਬਿਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਜੀਵਨ ਚੱਕਰ ਨੂੰ ਟਰੈਕ ਕਰਨਾ

ਕਿਸਨੇ ਕੀਤਾ? ਅਸੀਂ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਆਡਿਟ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਦੇ ਹਾਂ

ਇੱਕ SIEM ਸਿਸਟਮ ਦੀ ਮਲਕੀਅਤ ਦੀ ਲਾਗਤ ਨੂੰ ਕਿਵੇਂ ਘਟਾਇਆ ਜਾਵੇ ਅਤੇ ਤੁਹਾਨੂੰ ਸੈਂਟਰਲ ਲੌਗ ਮੈਨੇਜਮੈਂਟ (CLM) ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ

ਸਰੋਤ: www.habr.com