डिजिटल फोरेंसिक टिप्स एंड ट्रिक्स: एन्हांस्ड कमांड-लाइन ऑडिटिंग

आइए एक स्थिति की कल्पना करें जब साइबर हमलावर कमांड लाइन इंटरफेस (cmd.exe) का उपयोग करके या टेनेसी या रबर डस्की जैसे विशेष यूएसबी-डिवाइस का उपयोग करके संक्रमित कार्य केंद्र पर दूरस्थ रूप से कुछ कमांड निष्पादित करता है।



डिजिटल फोरेंसिक प्रक्रिया के दौरान हम इन कमांड को कैसे देख सकते हैं?

इस परीक्षण के मामले में मैंने पेलोड के साथ एक विशिष्ट यूएसबी-रबर डस्की डिवाइस का उपयोग किया है जिसे निष्पादित किया जा रहा है एक कमांड लाइन कंसोल (cmd.exe) शुरू होता है और फिर हार्ड ड्राइव पर कुछ डेटा कॉपी करने के लिए xcopy.exe का उपयोग करता है। इसके बाद मैंने रैम डंप किया और इन कमांड को अस्थिरता लिपि के साथ खोजने की कोशिश की। और नकली कीबोर्ड के साथ टाइप किए गए कमांड नहीं हैं (रबर डस्की) पाए गए थे।



दूसरा तरीका जो आप ले सकते हैं - यदि कुछ कंसोल उपयोगिता शुरू की गई थी और आप देखते हैं। \ Windows \ Prefetch फ़ोल्डर से संबंधित .pf फाइलें आप मेमोरीहे के साथ मेमोरी डंप की जांच कर सकते हैं या मेमोरी के अंदर इस कमांड के कुछ उदाहरणों को खोजने के लिए एक अन्य टूल।



लेकिन आपको स्पष्ट रूप से इस शोध को करने के लिए एक विशेष कौशल की आवश्यकता है और यह भी आपके कौशल स्तर के आधार पर कुछ समय ले सकता है।

इसलिए, अगर कोई साइबर हमलावर cmd में एक तरह के रबर डकी डिवाइस या प्रकार के कमांड का दूरस्थ रूप से उपयोग करता है, तो घटना की जांच के दौरान इन आदेशों के पूरे पाठ को खोजना वास्तव में कठिन है।

हम ऐसी ही स्थितियों के लिए तैयार रहने और तेज डिजिटल फोरेंसिक इनवेस्टिगेशन के लिए एक कॉरपोरेट आईटी इन्फ्रास्ट्रक्चर को अच्छी तरह से तैयार करने के लिए क्या कर सकते हैं?

यदि आपका IT अवसंरचना AD DS और Windows Server 2012 R2 / Windows 8.1 OS पर बनाया गया है, तो आप समूह नीतियों के माध्यम से एन्हांस्ड कमांड-लाइन ऑडिटिंग को कॉन्फ़िगर कर सकते हैं।

विंडोज सिक्योरिटी इवेंट्स में एक विशेष ईवेंट आईडी 4688 है, लेकिन अतिरिक्त कॉन्फ़िगरेशन के बिना इसमें प्रक्रियाओं के बारे में केवल जानकारी शामिल है और कमांड कंसोल में टाइप और निष्पादित किए गए कमांड के बारे में कोई उपयोगी जानकारी शामिल नहीं है।



डोमेन नियंत्रक पर gpmc.msc का उपयोग करके हमें समूह नीति ऑब्जेक्ट में दो विकल्प सक्षम करने की आवश्यकता है:

• कंप्यूटर कॉन्फ़िगरेशन \ Windows सेटिंग्स \ सुरक्षा सेटिंग्स \ उन्नत ऑडिट नीति कॉन्फ़िगरेशन \ सिस्टम ऑडिट नीतियाँ \ विस्तृत ट्रैकिंग \ ऑडिट प्रक्रिया निर्माण

• कंप्यूटर कॉन्फ़िगरेशन \ व्यवस्थापकीय टेम्प्लेट \ सिस्टम \ ऑडिट प्रोसेस क्रिएशन निर्माण प्रक्रिया में कमांड लाइन शामिल करें

निश्चित रूप से इस नीति को कार्यस्थानों पर अद्यतन करने की आवश्यकता है निगरानी के तहत gpupdate / बल का उपयोग करके या बस अपने डोमेन GP अपडेट अंतराल के लिए प्रतीक्षा करें।



अब यदि कोई कमांड कमांड कंसोल से निष्पादित हो रहा है, तो वे पूरे सिस्टम के साथ आईडी 4688 के साथ सुरक्षा कार्यक्रमों में संग्रहीत हो जाते हैं:



धन्यवाद, मैं जल्द ही अन्य अच्छी डिजिटल फोरेंसिक सामग्री के साथ वापस आऊंगा!