{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon kan nu registrera inneh\u00e5llet i urklippet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Om version 12 av Sysmon meddelades den 17 september p\u00e5 Sysinternals-sidan<\/a><\/noindex>. Faktiskt sl\u00e4pptes nya versioner av Process Monitor och ProcDump samma dag. I den h\u00e4r artikeln kommer jag att ber\u00e4tta om den centrala och n\u00e5got kontroversiella nyheten i version 12 av Sysmon \u2014 h\u00e4ndelsetypen med Event ID 24, d\u00e4r anv\u00e4ndningen av urklipp loggas.<\/p>\n

\"Sysmon
\n
\nInformationen fr\u00e5n den h\u00e4r h\u00e4ndelsetypen \u00f6ppnar nya m\u00f6jligheter att kontrollera misst\u00e4nkt aktivitet (och \u00e4ven nya s\u00e5rbarheter). S\u00e5ledes kan du f\u00f6rst\u00e5 vem, varifr\u00e5n och vad exakt som f\u00f6rs\u00f6ktes kopieras. Under rubriken finner du beskrivningar av vissa f\u00e4lt i den nya h\u00e4ndelsen och ett par anv\u00e4ndningsfall.
\n<\/a><\/noindex>
\nDen nya h\u00e4ndelsen inneh\u00e5ller f\u00f6ljande f\u00e4lt:<\/p>\n

Bild:<\/b> processen vars data har skrivits till urklippet.
\nSession:<\/b> sessionen i vilken skrivningen till urklippet genomf\u00f6rdes. Detta kan vara system(0)
\n vid arbete i interaktivt eller fj\u00e4rrl\u00e4ge osv.
\nKlientinfo:<\/b> inneh\u00e5ller anv\u00e4ndarnamnet f\u00f6r sessionen, och i fallet med fj\u00e4rrsession \u2014 det ursprungliga v\u00e4rdnamnet och IP-adressen, om dessa data \u00e4r tillg\u00e4ngliga.
\nHashar:<\/b> best\u00e4mmer namnet p\u00e5 filen d\u00e4r den kopierade texten sparades (motsvarande h\u00e4ndelser av typen FileDelete).
\nArkiverad:<\/b> status om texten fr\u00e5n urklippet har sparats i Sysmons arkivkatalog.<\/p>\n

De tv\u00e5 sista f\u00e4lten v\u00e4cker oro. Det faktum \u00e4r att eftersom version 11 kan Sysmon (med l\u00e4mpliga inst\u00e4llningar) spara olika data i sin arkivkatalog. Till exempel loggar Event ID 23 h\u00e4ndelser relaterade till filborttagning och kan spara dessa i samma arkivkatalog. F\u00f6r filnamn som skapas som resultat av arbete med urklippet l\u00e4ggs taggen CLIP till. Sj\u00e4lva filerna inneh\u00e5ller de exakta data som kopierades till urklippet.<\/p>\n

S\u00e5 h\u00e4r ser den sparade filen ut<\/b>
\n \"Sysmon<\/p>\n

\nSparande till fil aktiveras vid installation. Det g\u00e5r att st\u00e4lla in vitlistor f\u00f6r processer s\u00e5 att text inte kommer att sparas.<\/p>\n

S\u00e5 h\u00e4r ser installationen av Sysmon ut med en l\u00e4mplig inst\u00e4llning av arkivkatalog:<\/b>
\n \"Sysmon<\/p>\n

\nH\u00e4r tycker jag att det \u00e4r v\u00e4rt att n\u00e4mna l\u00f6senordshanterare som ocks\u00e5 anv\u00e4nder urklippet. Att ha Sysmon i systemet med en l\u00f6senordshanterare g\u00f6r att du (eller en angripare) kan f\u00e5nga dessa l\u00f6senord. Om vi antar att du vet vilken process som allokerar den kopierade texten (och det \u00e4r inte alltid l\u00f6senordshanterarens process, det kan vara n\u00e5gon svchost), kan du l\u00e4gga till detta undantag i vitlistan och inte spara.<\/p>\n

Kanske visste du inte, men text fr\u00e5n urklipp f\u00e5ngas av den fj\u00e4rrserver som aktiveras n\u00e4r du v\u00e4xlar till den i RDP-sessionl\u00e4ge. Om du har n\u00e5got i urklippet och v\u00e4xlar mellan RDP-sessioner, kommer denna information att resa med dig.<\/p>\n

L\u00e5t oss sammanfatta Sysmons m\u00f6jligheter att hantera urklipp.<\/p>\n

Registreras:<\/p>\n