ืื ืืขืืืื ื ืคืื ืืืขืจืกืืข 12 ืคืื Sysmon ืืื ืึทื ืึทืื ืกื ืืืืฃ ืกืขืคืืขืืืขืจ 17 ืืืึท . ืืื ืคืึทืงื, ื ืืึท ืืืขืจืกืืขืก ืคืื ืคึผืจืึทืกืขืก ืืึธื ืืืึธืจ ืืื ืคึผืจืึธืงืืืืคึผ ืืขื ืขื ืืืื ืืืคืจืืื ืืืืฃ ืืขื ืืึธื. ืืื ืืขื ืึทืจืืืงื ืืื ืืืขื ืจืขืื ืืืขืื ืื ืฉืืืกื ืืื ืงืึธื ืืจืึธืืืขืจืกืืึทื ืืืืขืฉ ืคืื ืืืขืจืกืืข 12 ืคืื Sysmon - ืื ืืืคึผ ืคืื ืืขืฉืขืขื ืืฉื ืืื ืขืืืขื ื ืฉืืึทื 24, ืืื ืืืึธืก ืึทืจืืขื ืืื ืื ืงืืืคึผืืึธืจื ืืื ืืึธืื.
ืืื ืคึฟืึธืจืืึทืฆืืข ืคืื โโืืขื ืืืคึผ ืคืื ืืขืฉืขืขื ืืฉ ืึธืคึผืขื ืก ื ืืึท ืึทืคึผืขืจืืื ืึทืืื ืฆื ืืึธื ืืืึธืจ ืกืึทืกืคึผืืฉืึทืก ืืขืืืงืืื (ืืื ืืขืืื ื ืืื ื ืืึท ืืืึทืื ืขืจืึทืืืืืืื). ืึทืืื ืืืจ ืงืขื ืขื ืคึฟืึทืจืฉืืืื ืืืึธืก, ืืื ืืื ืืืึธืก ืคึผืื ืงื ืืื ืืขืคืจืืืื ืฆื ื ืึธืืืึทืื. ืื ืืขืจ ืืขืจ ืืืจืืฉื ืื ืืื ืึท ืืึทืฉืจืืึทืืื ื ืคืื ืขืืืขืืข ืคืขืืืขืจ ืคืื ืื ื ืืึทืข ืืขืฉืขืขื ืืฉ ืืื ืึท ืคึผืึธืจ ืคืื ื ืืฆื ืงืึทืกืขืก.
ืื ื ืืึทืข ืืขืฉืขืขื ืืฉ ืึผืืื ืื ืคืืืืขื ืืข ืคืขืืืขืจ:
ืืืื: ืืขืจ ืคึผืจืึธืฆืขืก ืคืื ืืืึธืก ืืึทืื ืืื ืืขืืืขื ืืขืฉืจืืื ืฆื ืื ืงืืืคึผืืึธืจื.
ืกืขืกืืข: ืื ืกืขืกืืข ืืื ืืืึธืก ืื ืงืืืคึผืืึธืจื ืืื ืืขืืืขื ืืขืฉืจืืื. ืขืก ืงืขื ืืืื ืกืืกืืขื (0)
ืืืขื ืืจืืขืื ืึธื ืืืื ืึธืืขืจ ืจืืืึธืืืื, ืขืืง.
ืงืืืขื ื ืืื ืคึฟืึธืจืืึทืฆืืข: ืึผืืื ืื ืกืขืกืืข ื ืืืขื ืืื, ืืื ืื ืคืึทื ืคืื ืึท ืืืืึทื ืกืขืกืืข, ืืขืจ ืึธืจืืืื ืขื ืืึธืกืื ืึทืืข ืืื IP ืึทืืจืขืก, ืืืื ืื ืืืฆื.
ืืึทืฉืขืก: ืืืืขืจืืึทื ื ืื ื ืึธืืขื ืคืื ืืขืจ ืืขืงืข ืืื ืืืึธืก ืื ืงืึทืคึผืื ืืขืงืกื ืืื ืืขืจืืืขืืืขื (ืขื ืืขื ืฆื ืืจืืขืื ืืื ืืขืฉืขืขื ืืฉื ืคืื ืื FileDelete ืืืคึผ).
ืึทืจืืฉืืืืขื: ืกืืึทืืืก, ืฆื ืืขืจ ืืขืงืกื ืคืื ืื ืงืืืคึผืืึธืจื ืืื ืืขืจืืืขืืืขื ืืื ืื Sysmon ืึทืจืงืืืื ืืืขืืืืืึทืืขืจ.
ืื ืืขืฆืืข ืคึผืึธืจ ืคืื ืคืขืืืขืจ ืืขื ืขื ืึทืืึทืจืืื ื. ืืขืจ ืคืึทืงื ืืื ืึทื ืืื ื ืืืขืจืกืืข 11 Sysmon ืงืขื ืขื (ืืื ืฆืื ืขืืขื ืกืขืืืื ืืก) ืจืึทืืขืืืขื ืคืึทืจืฉืืื ืืึทืื ืฆื ืืืื ืึทืจืงืืืื ืืืขืืืืืึทืืขืจ. ืคึฟืึทืจ ืืืึทืฉืคึผืื, Event ID 23 ืืึธืืก ืืขืงืข ืืืืืฉืึทื ืืขืฉืขืขื ืืฉื ืืื ืงืขื ืขื ืจืึทืืขืืืขื ืืื ืึทืืข ืืื ืืขืจ ืืขืืืืงืขืจ ืึทืจืงืืืื ืืืขืืืืืึทืืขืจ. ืื CLIP ืงืืืืื ืืื ืืืกืืฃ ืฆื ืื ื ืึธืืขื ืคืื ืืขืงืขืก ืืืฉืืคื ืืื ืึท ืจืขืืืืืึทื ืคืื ืืจืืขืื ืืื ืื ืงืืืคึผืืึธืจื. ืื ืืขืงืขืก ืืื ืึทื ืืืึทืืื ืื ืคึผืื ืืืขื ืืึทืื ืืืึธืก ืืื ืงืึทืคึผืื ืฆื ืื ืงืืืคึผืืึธืจื.
ืืึธืก ืืื ืืื ืื ืืขืจืืืขืืืขื ืืขืงืข ืงืืงื ืืื
ืฉืคึผืึธืจื ืฆื ืึท ืืขืงืข ืืื ืขื ืืืืึทืื ืืขืฉืึทืก ืื ืกืืึทืืืจืื ื. ืืืจ ืงืขื ืขื ืฉืืขืื ืืืืึทืก ืจืฉืืืืช ืคืื ืคึผืจืึทืกืขืกืึทื ืคึฟืึทืจ ืืืึธืก ืืขืงืกื ืืืขื ื ืืฉื ืืืื ืืขืจืืืขืืืขื.
ืืึธืก ืืื ืืื ืื Sysmon ืืึทื ืืึธื ืืืจืื ื ืงืืงื ืืื ืืื ืื ืฆืื ืขืืขื ืึทืจืงืืืื Directory ืกืขืืืื ืืก:
ืืึธ, ืืื ืืจืึทืืื, ืขืก ืืื ืืืขืจื ืฆื ืืขืืขื ืงืขื ืคึผืึทืจืึธื ืืึทื ืึทืืืฉืขืจื ืืืึธืก ืืืื ื ืืฆื ืื ืงืืืคึผืืึธืจื. ืืืืื Sysmon ืืืืฃ ืึท ืกืืกืืขื ืืื ืึท ืคึผืึทืจืึธื ืคืึทืจืืืึทืืืขืจ ืืืขื ืืึธืื ืืืจ (ืึธืืขืจ ืึท ืึทืืึทืงืขืจ) ืฆื ืืึทืคึผื ืื ืคึผืึทืกืืืขืจืื. ืึทืกืืืื ื ืึทื ืืืจ ืืืืกื ืืืึธืก ืคึผืจืึธืฆืขืก ืึทืืึทืงืืืฅ ืื ืงืึทืคึผืื ืืขืงืกื (ืืื ืืึธืก ืืื ื ืื ืฉืืขื ืืืง ืืขืจ ืคึผืึทืจืึธื ืคืึทืจืืืึทืืืขืจ ืคึผืจืึธืฆืขืก, ืึธืืขืจ ืืคึฟืฉืจ ืขืืืขืืข ืกืืืืฉืึธืกื), ืืขื ืืืกื ืขื ืงืขื ืขื ืืืื ืืืกืืฃ ืฆื ืื ืืืืึทืก ืจืฉืืื ืืื ื ืืฉื ืืขืจืืืขืืืขื.
ืืืจ ืงืขื ื ืืฉื ืืืืกื, ืึธืืขืจ ืื ืืขืงืกื ืคืื ืื ืงืืืคึผืืึธืจื ืืื ืงืึทืคึผืืฉืขืจื ืืืจื ืื ืืืืึทื ืกืขืจืืืขืจ ืืืขื ืืืจ ืืึทืฉืืืืขื ืฆื ืขืก ืืื RDP ืกืขืกืืข ืืึธืืข. ืืืื ืืืจ ืืึธืื ืขืคึผืขืก ืืืืฃ ืืืื ืงืืืคึผืืึธืจื ืืื ืืืจ ืืึทืฉืืืืขื ืฆืืืืฉื RDP ืกืขืฉืึทื ื, ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขื ืึทืจืืืคืึธืจื ืืื ืืืจ.
ืืึธืืืจ ืกืึทืืขืจืืื Sysmon ืก ืงืืืคึผืึทืืืืึทืืื ืคึฟืึทืจ ืืจืืขืื ืืื ืื ืงืืืคึผืืึธืจื.
ืคืึทืจืคืขืกืืืงื:
- ืืขืงืกื ืงืึธืคึผืืข ืคืื โโืคึผืืืกืืื ืืขืงืกื ืืืจื RDP ืืื ืืึธืืงืึทืื;
- ืืึทืคึผื ืืึทืื ืคืื ืื ืงืืืคึผืืึธืจื ืืืจื ืคืึทืจืฉืืื ืืืืืืึทืืื / ืคึผืจืึทืกืขืกืึทื;
- ืงืึธืคึผื / ืคึผืึทืคึผ ืืขืงืกื ืคืื / ืฆื ืื ืืืืข ืืืืจืืืึทื ืืึทืฉืื, ืืคืืื ืืืื ืืขืจ ืืขืงืกื ืืื ื ืึธื ื ืืฉื ืคึผืืืกืืื.
ื ืื ืจืขืงืึธืจืืขื:
- ืงืึทืคึผืืื ื / ืคึผืึทืกืืื ื ืืขืงืขืก ืคืื / ืฆื ืึท ืืืืข ืืืืจืืืึทื ืืึทืฉืื;
- ืงืึธืคึผื / ืคึผืึทืคึผ ืืขืงืขืก ืืืจื RDP
- ื ืืึทืืืืึทืจืข ืืืึธืก ืืืืืืฉืึทืงืก ืืืื ืงืืืคึผืืึธืจื ืฉืจืืืื ืืืืื ืฆื ืื ืงืืืคึผืืึธืจื ืืื.
ืืจืึธืฅ ืืืื ืึทืืืืืืืึทืื, ืืขื ืืืคึผ ืคืื ืืขืฉืขืขื ืืฉ ืืืขื ืืึธืื ืืืจ ืฆื ืืืงืขืจื ืื ืึทืืืขืจืืืึทื ืคืื ืึทืงืฉืึทื ื ืคืื ืื ืึทืืึทืงืขืจ ืืื ืืขืืคื ืืืขื ืืืคืืฆืืจื ืืื ืึทืืขืจ ืื ืึทืงืกืขืกืึทืืึทื ืืึทืื ืคึฟืึทืจ ืื ืคืึธืจืืืจืื ื ืคืื ืคึผืึธืกื-ืืึธืจืืขืืก ื ืึธื ืื ืคืืื. ืืืื ืฉืจืืืื ืืื ืืึทืื ืฆื ืื ืงืืืคึผืืึธืจื ืืื ื ืึธื ืขื ืืืืึทืื, ืขืก ืืื ืืืืืืืง ืฆื ืจืขืงืึธืจืืืจื ืืขืืขืจ ืึทืงืกืขืก ืฆื ืื ืึทืจืงืืืื ืืืขืืืืืึทืืขืจ ืืื ืืืขื ืืืคืืฆืืจื ืคึผืึทืืขื ืืฉืึทืื ืืขืคืขืจืืขื ืึธื ืขืก (ื ืื ืื ืืฉืืืืืื ืืืจื sysmon.exe).
ืฆื ืจืขืงืึธืจืืืจื, ืคืื ืึทื ืืขืจืงืืืึทืื ืืื ืจืขืึทืืืจื ืฆื ืื ืืขืฉืขืขื ืืฉื ืืืกืืขื ืืืืื, ืืืจ ืงืขื ืขื ื ืืฆื ืื ืืขืฆืืึทื , ืืืึธืก ืงืึทืืืืื ื ืึทืืข ืืจืื ืึทืคึผืจืึธืืืฉืื ืืื, ืืื ืืขืจืฆื, ืืื ืึท ืขืคืขืงืืืื ืกืขื ืืจืึทืืืืื ืจืืคึผืึทืืึทืืึธืจื ืคืื ืึทืืข ืืขืืืืื ืจืื ืืึทืื. ืืืจ ืงืขื ืขื ืงืึทื ืคืืืืขืจ ืืืึทื ืื ืึทืืจืืืฉืึทื ืืื ืคืึธืืงืก SIEM ืกืืกืืขืืขื ืฆื ืืื ืึทืืืื ืื ืงืึธืก ืคืื ืืืืขืจ ืืืืกืึทื ืกืื ื ืืืจื ืืจืึทื ืกืคืขืจืื ื ืื ืคึผืจืึทืกืขืกืื ื ืืื ืกืืึธืจืืืืฉ ืคืื ืจืื ืืึทืื ืฆื InTrust.
ืฆื ืืขืจื ืขื ืืขืจ ืืืขืื InTrust, ืืืืขื ืขื ืืื ืืืขืจ ืคืจืืขืจืืืงื ืึทืจืืืงืืขื ืึธืืขืจ .
(ืคืึธืืงืก ืึทืจืืืงื)
ืืงืืจ: www.habr.com