{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon zdaj lahko bele\u017ei vsebino odlo\u017ei\u0161\u010da","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

O izdanju 12. verzije Sysmon je objavljeno 17. septembra na stranici Sysinternals<\/a><\/noindex>. Na taj dan su tako\u0111e objavljene nove verzije Process Monitor i ProcDump. U ovom \u010dlanku \u0107u se osvrnuti na klju\u010dnu i kontroverznu novinu 12. verzije Sysmon \u2014 vrstu doga\u0111aja sa Event ID 24, koja bele\u017ei rad sa me\u0111uspremnikom.<\/p>\n

\"Sysmon
\n
\nInformacije iz ove vrste doga\u0111aja otvaraju nove mogu\u0107nosti za pra\u0107enje sumnjive aktivnosti (ali i nove ranjivosti). Tako \u0107ete mo\u0107i da razumete ko, odakle i \u0161ta je ta\u010dno poku\u0161ao da kopira. Ispod su opisani neki podaci novog doga\u0111aja i nekoliko primera upotrebe.
\n<\/a><\/noindex>
\nNovi doga\u0111aj sadr\u017ei slede\u0107a polja:<\/p>\n

Image:<\/b> Proces iz kojeg su podaci zapisani u me\u0111uspremnik.
\nSession:<\/b> Sesija u kojoj je izvr\u0161eno upisivanje u me\u0111uspremnik. To mo\u017ee biti system(0)
\n u interaktivnom ili udaljenom re\u017eimu itd.
\nClientInfo:<\/b> sadr\u017ei korisni\u010dko ime sesije, a u slu\u010daju udaljene sesije \u2014 izvorno ime hosta i IP adresu, ako su ti podaci dostupni.
\nHashes:<\/b> odre\u0111uje ime fajla u kojem je sa\u010duvan kopirani tekst (analogno radu sa doga\u0111ajima tipa FileDelete).
\nArchived:<\/b> status, da li je tekst iz me\u0111uspremnika sa\u010duvan u arhivskom direktorijumu Sysmon.<\/p>\n

Par poslednjih polja izaziva zabrinutost. Naime, od verzije 11 Sysmon mo\u017ee (uz odgovaraju\u0107e pode\u0161avanja) da \u010duva razli\u010dite podatke u svoj arhivski direktorijum. Na primer, Event ID 23 bele\u017ei doga\u0111aje vezane za brisanje fajlova i mo\u017ee ih sa\u010duvati u istoj arhivskoj direktorijumu. Imenu fajlova stvorenih kao rezultat rada sa me\u0111uspremnikom se dodaje oznaka CLIP. Sami fajlovi sadr\u017ee ta\u010dne podatke koji su kopirani u me\u0111uspremnik.<\/p>\n

Ovako izgleda sa\u010duvani fajl<\/b>
\n \"Sysmon<\/p>\n

\nSnimanje u fajl se uklju\u010duje prilikom instalacije. Mogu\u0107e je postaviti bele liste procesa za koje se tekst ne\u0107e \u010duvati.<\/p>\n

Ovako izgleda instalacija Sysmon sa odgovaraju\u0107im pode\u0161avanjima arhivskog direktorijuma:<\/b>
\n \"Sysmon<\/p>\n

\nMislim da ovde treba podsetiti na menad\u017eere lozinki, koji tako\u0111e koriste me\u0111uspremnik. Prisutnost Sysmon-a u sistemu sa menad\u017eerom lozinki omogu\u0107ava vam (ili napada\u010du) da hvata te lozinke. Ako pretpostavimo da znate koji ta\u010dno proces alocira kopirani tekst (a to nije uvek proces menad\u017eera lozinki, ve\u0107 mo\u017ee biti neki svchost), ovo izuze\u0107e se mo\u017ee dodati u belu listu i ne sa\u010duvati.<\/p>\n

Morda niste vedeli, vendar oddaljeni stre\u017enik v na\u010dinu RDP zajema besedilo iz odlo\u017ei\u0161\u010da, ko se preklapljate nanj. \u010ce imate kaj v odlo\u017ei\u0161\u010du in preklapljate med seansami RDP, bodo te informacije potovale z vami.<\/p>\n

Poglejmo mo\u017enosti Sysmona za upravljanje z odlo\u017ei\u0161\u010dem.<\/p>\n

Zabele\u017eeni so:<\/p>\n