{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"O Sysmon agora pode registrar o conte\u00fado da \u00e1rea de transfer\u00eancia","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

O lan\u00e7amento da vers\u00e3o 12 do Sysmon foi anunciado em 17 de setembro na p\u00e1gina do Sysinternals<\/a><\/noindex>. Na verdade, nesse dia tamb\u00e9m foram lan\u00e7adas novas vers\u00f5es do Process Monitor e do ProcDump. Neste artigo, falarei sobre a nova e amb\u00edgua introdu\u00e7\u00e3o da vers\u00e3o 12 do Sysmon \u2014 o tipo de eventos com o ID de Evento 24, que registra opera\u00e7\u00f5es com a \u00e1rea de transfer\u00eancia.<\/p>\n

\"O
\n
\nAs informa\u00e7\u00f5es desse tipo de evento abrem novas possibilidades de controle sobre atividades suspeitas (assim como novas vulnerabilidades). Assim, voc\u00ea poder\u00e1 entender quem, de onde e o que exatamente tentaram copiar. Abaixo, descreverei alguns campos do novo evento e alguns casos de uso.
\n<\/a><\/noindex>
\nO novo evento cont\u00e9m os seguintes campos:<\/p>\n

Imagem:<\/b> o processo cujos dados foram gravados na \u00e1rea de transfer\u00eancia.
\nSess\u00e3o:<\/b> a sess\u00e3o em que a grava\u00e7\u00e3o na \u00e1rea de transfer\u00eancia ocorreu. Isso pode ser system(0)
\n ao trabalhar em modo interativo ou remoto, etc.
\nClientInfo:<\/b> cont\u00e9m o nome de usu\u00e1rio da sess\u00e3o e, no caso de uma sess\u00e3o remota, o nome do host de origem e o endere\u00e7o IP, se essas informa\u00e7\u00f5es estiverem dispon\u00edveis.
\nHashes:<\/b> determina o nome do arquivo em que o texto copiado foi salvo (semelhante ao trabalho com eventos do tipo FileDelete).
\nArquivado:<\/b> status de se o texto da \u00e1rea de transfer\u00eancia foi salvo na diret\u00f3rio de arquivamento do Sysmon.<\/p>\n

Os \u00faltimos dois campos geram preocupa\u00e7\u00e3o. Isso se deve ao fato de que, a partir da vers\u00e3o 11, o Sysmon pode (com as configura\u00e7\u00f5es adequadas) salvar dados diferentes em seu diret\u00f3rio de arquivamento. Por exemplo, o ID de Evento 23 registra eventos de exclus\u00e3o de arquivos e pode salv\u00e1-los no mesmo diret\u00f3rio de arquivamento. Um marcador de CLIP \u00e9 adicionado ao nome dos arquivos criados a partir do uso da \u00e1rea de transfer\u00eancia. Os arquivos em si cont\u00eam os dados exatos que foram copiados para a \u00e1rea de transfer\u00eancia.<\/p>\n

Assim \u00e9 o arquivo salvo.<\/b>
\n \"O<\/p>\n

\nO salvamento em arquivo \u00e9 ativado na instala\u00e7\u00e3o. \u00c9 poss\u00edvel estabelecer listas brancas de processos que n\u00e3o ter\u00e3o seu texto salvo.<\/p>\n

Assim \u00e9 a instala\u00e7\u00e3o do Sysmon com a configura\u00e7\u00e3o adequada do diret\u00f3rio de arquivamento:<\/b>
\n \"O<\/p>\n

\nAqui, acho que devemos lembrar dos gerenciadores de senhas, que tamb\u00e9m utilizam a \u00e1rea de transfer\u00eancia. A presen\u00e7a do Sysmon em um sistema com um gerenciador de senhas permitir\u00e1 que voc\u00ea (ou um invasor) capture essas senhas. Se presumir que voc\u00ea sabe qual processo est\u00e1 alocando o texto copiado (e isso nem sempre \u00e9 o processo do gerenciador de senhas, podendo ser um svchost, por exemplo), essa exce\u00e7\u00e3o pode ser adicionada \u00e0 lista branca e n\u00e3o ser salva.<\/p>\n

Voc\u00ea pode n\u00e3o saber, mas o texto da \u00e1rea de transfer\u00eancia \u00e9 capturado pelo servidor remoto ao alternar para ele no modo de sess\u00e3o RDP. Se voc\u00ea tiver algo na \u00e1rea de transfer\u00eancia e alternar entre sess\u00f5es RDP, essas informa\u00e7\u00f5es viajar\u00e3o com voc\u00ea.<\/p>\n

Vamos resumir as capacidades do Sysmon relacionadas \u00e0 \u00e1rea de transfer\u00eancia.<\/p>\n

S\u00e3o registrados:<\/p>\n