Које корисне ствари се могу издвојити из евиденције радне станице засноване на Виндовс-у?

Корисничка радна станица је најрањивија тачка инфраструктуре у погледу безбедности информација. Корисници могу добити писмо на своју радну е-пошту за коју се чини да је из безбедног извора, али са везом до заражене локације. Можда ће неко преузети услужни програм користан за рад са непознате локације. Да, можете смислити десетине случајева како малвер може да се инфилтрира у интерне корпоративне ресурсе преко корисника. Због тога радне станице захтевају повећану пажњу, а у овом чланку ћемо вам рећи где и које догађаје да предузмете да бисте пратили нападе.

Да би открио напад у најранијој могућој фази, ВИндовс има три корисна извора догађаја: евиденцију безбедносних догађаја, евиденцију надзора система и евиденцију Повер Схелл.

Дневник безбедносних догађаја

Ово је главна локација за складиштење сигурносних дневника система. Ово укључује догађаје пријављивања/одјављивања корисника, приступа објектима, промене политике и друге активности везане за безбедност. Наравно, ако је конфигурисана одговарајућа политика.

Набрајање корисника и група (догађаји 4798 и 4799). На самом почетку напада, малвер често претражује локалне корисничке налоге и локалне групе на радној станици како би пронашао акредитиве за своје сумњиве послове. Ови догађаји ће помоћи у откривању злонамерног кода пре него што крене даље и, користећи прикупљене податке, прошири се на друге системе.

Креирање локалног налога и промене у локалним групама (догађаји 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 и 5377). Напад такође може да почне, на пример, додавањем новог корисника у групу локалних администратора.

Покушаји пријаве са локалним налогом (догађај 4624). Угледни корисници се пријављују са доменским налогом, а идентификовање пријаве под локалним налогом може значити почетак напада. Догађај 4624 такође укључује пријаве под налогом домена, тако да када обрађујете догађаје, морате да филтрирате догађаје у којима се домен разликује од назива радне станице.

Покушај пријављивања са наведеним налогом (догађај 4648). Ово се дешава када процес ради у режиму „покрени као“. Ово не би требало да се дешава током нормалног рада система, па се такви догађаји морају контролисати.

Закључавање/откључавање радне станице (догађаји 4800-4803). Категорија сумњивих догађаја укључује све радње које су се десиле на закључаној радној станици.

Промене конфигурације заштитног зида (догађаји 4944-4958). Очигледно, приликом инсталирања новог софтвера, подешавања конфигурације заштитног зида могу се променити, што ће изазвати лажне позитивне резултате. У већини случајева, нема потребе да контролишете такве промене, али дефинитивно неће шкодити да знате за њих.

Повезивање Плуг'н'плаи уређаја (догађај 6416 и само за Виндовс 10). Важно је пазити на ово ако корисници обично не повезују нове уређаје са радном станицом, али онда одједном то учине.

Виндовс укључује 9 категорија ревизије и 50 поткатегорија за фино подешавање. Минимални скуп поткатегорија који треба да буде омогућен у подешавањима:

Пријава / одјава

• Пријавите се;
• Одјави се;
• Закључавање налога;
• Други догађаји пријаве/одјаве.

Вођење рачуна

• Управљање корисничким налогом;
• Управљање безбедносним групама.

Промена политике

• Промена политике ревизије;
• Промена политике аутентификације;
• Промена политике ауторизације.

Монитор система (Сисмон)

Сисмон је услужни програм уграђен у Виндовс који може да бележи догађаје у системски дневник. Обично га морате инсталирати одвојено.

Ови исти догађаји се, у принципу, могу наћи у безбедносном дневнику (омогућавањем жељене политике ревизије), али Сисмон пружа више детаља. Који догађаји се могу преузети из Сисмона?

Креирање процеса (ИД догађаја 1). Дневник безбедносних догађаја система такође може да вам каже када је *.еке покренут, па чак и да покаже његово име и путању за покретање. Али за разлику од Сисмона, неће моћи да прикаже хеш апликације. Злонамерни софтвер се чак може назвати безопасним нотепад.еке, али хеш ће га изнети на видело.

Мрежне везе (ИД догађаја 3). Очигледно, постоји много мрежних веза и немогуће их је све пратити. Али важно је узети у обзир да Сисмон, за разлику од Сецурити Лог-а, може да повеже мрежну везу са пољима ПроцессИД и ПроцессГУИД и приказује порт и ИП адресе извора и одредишта.

Промене у системском регистру (ИД догађаја 12-14). Најлакши начин да се додате у ауторун је да се региструјете у регистру. Безбедносни дневник то може да уради, али Сисмон показује ко је извршио промене, када, одакле, ИД процеса и претходну вредност кључа.

Креирање датотеке (ИД догађаја 11). Сисмон ће, за разлику од Сецурити Лог-а, показати не само локацију датотеке, већ и њено име. Јасно је да не можете пратити све, али можете ревидирати одређене директоријуме.

А сада шта није у политикама безбедносног дневника, али је у Сисмону:

Промена времена креирања датотеке (ИД догађаја 2). Неки злонамерни софтвер може да лажира датум креирања датотеке да би је сакрио из извештаја о недавно креираним датотекама.

Учитавање драјвера и динамичких библиотека (ИД-ови догађаја 6-7). Праћење учитавања ДЛЛ-ова и драјвера уређаја у меморију, провера дигиталног потписа и његове валидности.

Креирајте нит у току процеса (ИД догађаја 8). Једна врста напада коју такође треба пратити.

РавАццессРеад догађаји (ИД догађаја 9). Операције читања диска помоћу „.“. У великој већини случајева такву активност треба сматрати ненормалном.

Креирајте ток датотека са именом (ИД догађаја 15). Догађај се евидентира када се креира именовани ток датотеке који емитује догађаје са хешом садржаја датотеке.

Креирање именоване цеви и везе (ИД догађаја 17-18). Праћење злонамерног кода који комуницира са другим компонентама преко именоване цеви.

ВМИ активност (ИД догађаја 19). Регистрација догађаја који се генеришу приликом приступа систему преко ВМИ протокола.

Да бисте заштитили сам Сисмон, потребно је да пратите догађаје са ИД 4 (Сисмон заустављање и покретање) и ИД 16 (промене Сисмон конфигурације).

Повер Схелл дневники

Повер Схелл је моћан алат за управљање Виндовс инфраструктуром, тако да су велике шансе да ће га нападач изабрати. Постоје два извора која можете да користите за добијање података о Повер Схелл догађајима: Виндовс ПоверСхелл дневник и Мицрософт-ВиндовсПоверСхелл/Оператионал дневник.

Виндовс ПоверСхелл дневник

Добављач података је учитан (ИД догађаја 600). ПоверСхелл добављачи су програми који пружају извор података за ПоверСхелл за преглед и управљање. На пример, уграђени добављачи могу бити променљиве Виндовс окружења или системски регистар. Појава нових добављача мора се пратити како би се на време открила злонамерна активност. На пример, ако видите да се ВСМан појављује међу добављачима, тада је покренута удаљена ПоверСхелл сесија.

Мицрософт-ВиндовсПоверСхелл / Оперативни дневник (или МицрософтВиндовс-ПоверСхеллЦоре / Оператионал у ПоверСхелл 6)

Евидентирање модула (ИД догађаја 4103). Догађаји чувају информације о свакој извршеној команди и параметрима са којима је позвана.

Евидентирање блокирања скрипте (ИД догађаја 4104). Евидентирање блокирања скрипте приказује сваки извршени блок ПоверСхелл кода. Чак и ако нападач покуша да сакрије команду, овај тип догађаја ће показати ПоверСхелл команду која је заиста извршена. Овај тип догађаја такође може да евидентира неке АПИ позиве ниског нивоа који се упућују, ови догађаји се обично бележе као опширно, али ако се сумњива команда или скрипта користи у блоку кода, биће забележена као озбиљност упозорења.

Имајте на уму да када се алатка конфигурише да прикупља и анализира ове догађаје, биће потребно додатно време за отклањање грешака да би се смањио број лажних позитивних резултата.

Реците нам у коментарима које евиденције прикупљате за ревизије безбедности информација и које алате користите за то. Једна од области нашег фокуса су решења за ревизију догађаја безбедности информација. Да бисмо решили проблем прикупљања и анализе дневника, можемо предложити да се детаљније погледа Куест ИнТруст, који може да компримује ускладиштене податке у односу 20:1, а једна његова инсталирана инстанца је способна да обради до 60000 догађаја у секунди из 10000 извора.

Извор: ввв.хабр.цом