Сисмон сада може да пише садржај међуспремника

Издање верзије 12 Сисмона објављено је 17. септембра у Страница Сисинтерналс. У ствари, на данашњи дан су објављене и нове верзије Процесс Монитора и ПроцДумп-а. У овом чланку ћу говорити о кључној и контроверзној иновацији верзије 12 Сисмона - типу догађаја са Евент ИД 24, у који се пријављује рад са клипбордом.

Информације из ове врсте догађаја отварају нове могућности за праћење сумњивих активности (као и нових рањивости). Дакле, можете разумети ко је, где и шта тачно покушао да копира. Испод реза је опис неких поља новог догађаја и неколико случајева употребе.

Нови догађај садржи следећа поља:

Слика: процес из којег су подаци уписани у клипборд.
Седница: сесија у којој је написан клипборд. То може бити систем (0)
када радите на мрежи или на даљину итд.
Информације о клијенту: садржи корисничко име сесије и, у случају удаљене сесије, оригинално име хоста и ИП адресу, ако су доступни.
Хашеви: одређује име датотеке у којој је сачуван копирани текст (слично као у раду са догађајима типа ФилеДелете).
Архивирано: статус, да ли је текст из међуспремника сачуван у Сисмон архивском директоријуму.

Последњих неколико поља је алармантно. Чињеница је да од верзије 11 Сисмон може (са одговарајућим подешавањима) да сачува различите податке у свој архивски директоријум. На пример, ИД догађаја 23 евидентира догађаје брисања датотека и може их све сачувати у истом директоријуму архиве. Ознака ЦЛИП се додаје називу датотека које су настале као резултат рада са међуспремником. Саме датотеке садрже тачне податке који су копирани у међуспремник.

Овако изгледа сачувана датотека

Чување у датотеку је омогућено током инсталације. Можете поставити беле листе процеса за које текст неће бити сачуван.

Овако изгледа Сисмон инсталација са одговарајућим поставкама директоријума архиве:

Овде, мислим, вреди запамтити менаџере лозинки који такође користе међуспремник. Ако имате Сисмон на систему са менаџером лозинки, то ће вам (или нападачу) омогућити да ухватите те лозинке. Под претпоставком да знате који процес додељује копирани текст (а ово није увек процес менаџера лозинки, већ можда неки свцхост), овај изузетак се може додати на белу листу и не сачувати.

Можда не знате, али текст из међуспремника снима удаљени сервер када се пребаците на њега у режиму РДП сесије. Ако имате нешто у међуспремнику и прелазите између РДП сесија, те информације ће путовати са вама.

Хајде да сумирамо Сисмон-ове могућности за рад са клипбордом.

Поправљено:

• Копија текста налепљеног текста преко РДП-а и локално;
• Снимање података из међуспремника помоћу разних услужних програма/процеса;
• Копирајте/налепите текст са/на локалну виртуелну машину, чак и ако овај текст још увек није налепљен.

Није забележено:

• Копирање/лепљење датотека са/на локалну виртуелну машину;
• Копирајте / налепите датотеке преко РДП-а
• Злонамерни софтвер који отима ваш међуспремник пише само у сам међуспремник.

Упркос својој двосмислености, ова врста догађаја ће вам омогућити да вратите нападачев алгоритам акција и помоћи у идентификацији раније недоступних података за формирање обдукција након напада. Ако је писање садржаја у међуспремник и даље омогућено, важно је да снимите сваки приступ директоријуму архиве и идентификујете потенцијално опасне (не покреће сисмон.еке).

Да бисте снимили, анализирали и реаговали на горе наведене догађаје, можете користити алатку У поверењу, који комбинује сва три приступа и, поред тога, представља ефикасно централизовано складиште свих прикупљених необрађених података. Можемо да конфигуришемо његову интеграцију са популарним СИЕМ системима да минимизирамо трошкове њиховог лиценцирања преносом обраде и складиштења необрађених података у ИнТруст.

Да бисте сазнали више о ИнТруст-у, прочитајте наше претходне чланке или оставите захтев у обрасцу за повратне информације.

Како смањити трошкове власништва над СИЕМ системом и зашто вам је потребно Централно управљање евиденцијом (ЦЛМ)

Омогућавамо прикупљање догађаја о покретању сумњивих процеса у Виндовс-у и идентификујемо претње користећи Куест ИнТруст

Како ИнТруст може помоћи у смањењу стопе неуспелих покушаја ауторизације путем РДП-а

Откривамо напад рансомваре-а, добијамо приступ контролеру домена и покушавамо да се одупремо овим нападима

Које корисне ствари се могу издвојити из евиденције радне станице засноване на Виндовс-у? (популаран чланак)

Ко је то урадио? Аутоматизујемо ревизије безбедности информација

Извор: ввв.хабр.цом