{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon mo\u017ce teraz rejestrowa\u0107 zawarto\u015b\u0107 schowka","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

O wydaniu wersji 12 Sysmon poinformowano 17 wrze\u015bnia na stronie Sysinternals<\/a><\/noindex>. W rzeczywisto\u015bci tego dnia ukaza\u0142y si\u0119 r\u00f3wnie\u017c nowe wersje Process Monitor i ProcDump. W tym artykule przedstawi\u0119 kluczow\u0105 i kontrowersyjn\u0105 nowo\u015b\u0107 wersji 12 Sysmon \u2014 typ wydarze\u0144 z Event ID 24, kt\u00f3ry loguje dzia\u0142ania zwi\u0105zane z schowkiem.<\/p>\n

\"Sysmon
\n
\nInformacje z tego typu wydarze\u0144 otwieraj\u0105 nowe mo\u017cliwo\u015bci kontroli nad podejrzan\u0105 aktywno\u015bci\u0105 (a tak\u017ce nowe luki). Dzi\u0119ki temu b\u0119dziecie mogli zrozumie\u0107, kto, sk\u0105d i co dok\u0142adnie pr\u00f3bowano skopiowa\u0107. Poni\u017cej opis niekt\u00f3rych p\u00f3l nowego zdarzenia oraz kilka przyk\u0142ad\u00f3w zastosowania.
\n<\/a><\/noindex>
\nNowe zdarzenie zawiera nast\u0119puj\u0105ce pola:<\/p>\n

Image:<\/b> proces, z kt\u00f3rego dane zosta\u0142y zapisane do schowka.
\nSession:<\/b> sesja, w kt\u00f3rej dokonano zapisu do schowka. Mo\u017ce to by\u0107 system(0)
\n podczas pracy w trybie interaktywnym lub zdalnym itp.
\nClientInfo:<\/b> zawiera nazw\u0119 u\u017cytkownika sesji, a w przypadku sesji zdalnych \u2014 nazw\u0119 hosta oraz adres IP, je\u015bli te dane s\u0105 dost\u0119pne.
\nHashes:<\/b> okre\u015bla nazw\u0119 pliku, w kt\u00f3rym zapisano skopiowany tekst (analogicznie do zdarze\u0144 typu FileDelete).
\nArchived:<\/b> status, czy tekst z schowka zosta\u0142 zapisany w archiwalnym katalogu Sysmon.<\/p>\n

Para ostatnich p\u00f3l budzi niepok\u00f3j. Ot\u00f3\u017c od wersji 11 Sysmon mo\u017ce (przy odpowiednich ustawieniach) zapisywa\u0107 r\u00f3\u017cne dane w swoim archiwalnym katalogu. Na przyk\u0142ad Event ID 23 loguje zdarzenia zwi\u0105zane z usuwaniem plik\u00f3w i mo\u017ce je zapisywa\u0107 w tym samym archiwalnym katalogu. Do nazw plik\u00f3w utworzonych w wyniku dzia\u0142a\u0144 z schowkiem dodawany jest tag CLIP. Same pliki zawieraj\u0105 dok\u0142adne dane, kt\u00f3re zosta\u0142y skopiowane do schowka.<\/p>\n

Tak wygl\u0105da zapisany plik<\/b>
\n \"Sysmon<\/p>\n

\nZapisywanie do pliku w\u0142\u0105cza si\u0119 podczas instalacji. Mo\u017cna ustala\u0107 listy dozwolonych proces\u00f3w, dla kt\u00f3rych tekst nie b\u0119dzie zapisywany.<\/p>\n

Tak wygl\u0105da instalacja Sysmon z odpowiednim ustawieniem katalogu archiwalnego:<\/b>
\n \"Sysmon<\/p>\n

\nMy\u015bl\u0119, \u017ce warto przypomnie\u0107 o mened\u017cerach hase\u0142, kt\u00f3re r\u00f3wnie\u017c korzystaj\u0105 z schowka. Obecno\u015b\u0107 Sysmon w systemie z mened\u017cerem hase\u0142 pozwoli Wam (lub osobie nieuprawnionej) przechwytywa\u0107 te has\u0142a. Je\u015bli przyjmiemy, \u017ce wiecie, kt\u00f3ry proces alokuje skopiowany tekst (a nie zawsze jest to proces mened\u017cera hase\u0142, mo\u017ce to by\u0107 jaki\u015b svchost), to to wyj\u0105tek mo\u017cna doda\u0107 do listy dozwolonych i nie zapisywa\u0107.<\/p>\n

Mo\u017cesz tego nie wiedzie\u0107, ale tekst z schowka jest przechwytywany przez zdalny serwer po prze\u0142\u0105czeniu si\u0119 na niego w trybie sesji RDP. Je\u015bli masz co\u015b w schowku i prze\u0142\u0105czasz si\u0119 mi\u0119dzy sesjami RDP, ta informacja podr\u00f3\u017cuje z tob\u0105.<\/p>\n

Podsumujmy mo\u017cliwo\u015bci Sysmon dotycz\u0105ce pracy ze schowkiem.<\/p>\n

Rejestrowane s\u0105:<\/p>\n