एप्लिकेशन संचार देखने का दूसरा तरीका

शुभ दोपहर, सहकर्मी। जैसा कि आप जानते हैं, एक बहुत ही उपयोगी उपयोगिता है - सिस्मोन । संक्षेप में, यह आपको विंडोज पर होने वाली घटनाओं को इकट्ठा करने और "लॉग" करने की अनुमति देता है। ऐसी एक घटना नेटवर्क कनेक्शन स्थापित करने का एक प्रयास है। इस प्रकार, आप यह पता लगाने की कोशिश कर सकते हैं कि आपके आवेदन कहां जाते हैं। इसके लिए हमें चाहिए:

• खुद को बचाओ
• इसके लिए विन्यास, मैं इस एक का उपयोग करना पसंद करता हूं
• PSQuickGraph मॉड्यूल
• और थोड़ी कल्पना

सिद्धांत रूप में, हमें थोड़ी कल्पना की आवश्यकता है। Sysmon Microsoft-Windows-Sysmon/Operational लॉग के लिए ईवेंट लिखता है। इसलिए हमें उन्हें बाहर निकालने, अलग करने और उन्हें प्रदर्शित करने की आवश्यकता है। कुछ इस तरह:

 $ids = Get-WinEvent -LogName Microsoft-Windows-Sysmon/Operational | ? {$_.id -eq 3} $commObjects = $ids | % { New-Object psobject -Property @{ RuleName = $_.Properties[0].value UtcTime = $_.Properties[1].value ProcessGuid = $_.Properties[2].value ProcessId = $_.Properties[3].value Image = $_.Properties[4].value User = $_.Properties[5].value Protocol = $_.Properties[6].value Initiated = $_.Properties[7].value SourceIsIpv6 = $_.Properties[8].value SourceIp = $_.Properties[9].value SourceHostname = $_.Properties[10].value SourcePort = $_.Properties[11].value SourcePortName = $_.Properties[12].value DestinationIsIpv6 = $_.Properties[13].value DestinationIp = $_.Properties[14].value DestinationHostname = $_.Properties[15].value DestinationPort = $_.Properties[16].value DestinationPortName = $_.Properties[17].value SourceString = "$($_.Properties[4].value)`:$($_.Properties[3].value)" DestinationString = "$($_.Properties[14].value)`:$($_.Properties[16].value)" } } $g = New-Graph -Type BidirectionalGraph $commObjects | % { Add-Edge -From $_.SourceString -To $_.DestinationString -Graph $g | Out-Null } Show-GraphLayout -Graph $g 

दुर्भाग्य से, Properties संपत्ति में मूल्य एक सूची है, बस मूल्य, बिना चाबी के। इसलिए, उन्हें बांधने के लिए, मुझे अशिष्टता से काम करना पड़ा। अंत में, हम प्रत्येक लॉग प्रविष्टि से इन मानों को लेते हैं, उन्हें वस्तुओं में परिवर्तित करते हैं, और फिर उन्हें रेखांकन के रूप में जोड़ते हैं और उन्हें प्रदर्शित करते हैं।

यह याद रखना महत्वपूर्ण है कि एक ही "पथ" के साथ एक प्रक्रिया को कई बार चलाया जा सकता है। दूसरी ओर, एक ही नाम के साथ एक शीर्ष दो बार जोड़ा नहीं जाता है। इसलिए, ग्राफ़ पर प्रत्येक प्रक्रिया का विशिष्ट रूप से प्रतिनिधित्व करने के लिए, हम दो नए लोगों को जोड़ते हुए मूल्यों के मूल सेट को थोड़ा संशोधित करते हैं। यह हमें इस प्रक्रिया की सटीक पहचान करने की अनुमति देता है, क्योंकि इसकी पहचानकर्ता अपेक्षाकृत अद्वितीय मूल्य है।

  SourceString = "$($_.Properties[4].value)`:$($_.Properties[3].value)" DestinationString = "$($_.Properties[14].value)`:$($_.Properties[16].value)" 

यह है कि यह कैसे देख खत्म हो सकता है

मुझे उम्मीद है कि यह किसी के लिए उपयोगी है