Om version 12 av Sysmon meddelades den 17 september pĂ„ . Faktiskt slĂ€pptes nya versioner av Process Monitor och ProcDump samma dag. I den hĂ€r artikeln kommer jag att berĂ€tta om den centrala och nĂ„got kontroversiella nyheten i version 12 av Sysmon â hĂ€ndelsetypen med Event ID 24, dĂ€r anvĂ€ndningen av urklipp loggas.
Informationen frÄn den hÀr hÀndelsetypen öppnar nya möjligheter att kontrollera misstÀnkt aktivitet (och Àven nya sÄrbarheter). SÄledes kan du förstÄ vem, varifrÄn och vad exakt som försöktes kopieras. Under rubriken finner du beskrivningar av vissa fÀlt i den nya hÀndelsen och ett par anvÀndningsfall.
Den nya hÀndelsen innehÄller följande fÀlt:
Bild: processen vars data har skrivits till urklippet.
Session: sessionen i vilken skrivningen till urklippet genomfördes. Detta kan vara system(0)
vid arbete i interaktivt eller fjÀrrlÀge osv.
Klientinfo: innehĂ„ller anvĂ€ndarnamnet för sessionen, och i fallet med fjĂ€rrsession â det ursprungliga vĂ€rdnamnet och IP-adressen, om dessa data Ă€r tillgĂ€ngliga.
Hashar: bestÀmmer namnet pÄ filen dÀr den kopierade texten sparades (motsvarande hÀndelser av typen FileDelete).
Arkiverad: status om texten frÄn urklippet har sparats i Sysmons arkivkatalog.
De tvÄ sista fÀlten vÀcker oro. Det faktum Àr att eftersom version 11 kan Sysmon (med lÀmpliga instÀllningar) spara olika data i sin arkivkatalog. Till exempel loggar Event ID 23 hÀndelser relaterade till filborttagning och kan spara dessa i samma arkivkatalog. För filnamn som skapas som resultat av arbete med urklippet lÀggs taggen CLIP till. SjÀlva filerna innehÄller de exakta data som kopierades till urklippet.
SÄ hÀr ser den sparade filen ut
Sparande till fil aktiveras vid installation. Det gÄr att stÀlla in vitlistor för processer sÄ att text inte kommer att sparas.
SÄ hÀr ser installationen av Sysmon ut med en lÀmplig instÀllning av arkivkatalog:
HÀr tycker jag att det Àr vÀrt att nÀmna lösenordshanterare som ocksÄ anvÀnder urklippet. Att ha Sysmon i systemet med en lösenordshanterare gör att du (eller en angripare) kan fÄnga dessa lösenord. Om vi antar att du vet vilken process som allokerar den kopierade texten (och det Àr inte alltid lösenordshanterarens process, det kan vara nÄgon svchost), kan du lÀgga till detta undantag i vitlistan och inte spara.
Kanske visste du inte, men text frÄn urklipp fÄngas av den fjÀrrserver som aktiveras nÀr du vÀxlar till den i RDP-sessionlÀge. Om du har nÄgot i urklippet och vÀxlar mellan RDP-sessioner, kommer denna information att resa med dig.
LÄt oss sammanfatta Sysmons möjligheter att hantera urklipp.
Registreras:
- Textcopy av den insatta texten via RDP och lokalt;
- DatafÄngst frÄn urklipp av olika verktyg/processer;
- Kopiera/klistra in text till/frÄn en lokal virtuell maskin, Àven om den hÀr texten Ànnu inte har klistrats in.
Registreras inte:
- Kopiera/klistra in filer till/frÄn en lokal virtuell maskin;
- Kopiera/klistra in filer via RDP
- Ond programvara som fÄngar ditt urklipp skriver bara till sjÀlva urklippet.
Trots sitt tvetydiga innehÄll gör denna typ av hÀndelser det möjligt att Äterskapa angriparens handlingsmönster och hjÀlper till att identifiera tidigare otillgÀngliga data för att skapa post mortem efter attacker. Om inspelning av innehÄllet i urklippet Àr aktiverad Àr det viktigt att registrera varje tillgÄng till arkivkatalogen och upptÀcka potentiellt farliga (initierade av nÄgot annat Àn sysmon.exe).
För registrering, analys och reaktion pÄ ovanstÄende hÀndelser kan verktyget anvÀndas , vilket kombinerar alla tre tillvÀgagÄngssÀtten och dessutom Àr ett effektivt centraliserat lagringsutrymme för alla insamlade rÄdata. Vi kan konfigurera dess integration med populÀra SIEM-system för att minimera kostnaderna för deras licensiering genom att överföra bearbetning och lagring av rÄdata till InTrust.
För att lÀra dig mer om InTrust, lÀs vÄra tidigare artiklar eller .
(populÀr artikel)
KĂ€lla: habr.com
