विंडोज-आधारित वर्कस्टेशन के लॉग से क्या उपयोगी चीजें खींची जा सकती हैं

उपयोगकर्ता कार्य केंद्र सूचना सुरक्षा के मामले में सबसे कमजोर बुनियादी ढांचा है। उपयोगकर्ता अपने कामकाजी मेल से एक पत्र प्राप्त कर सकते हैं जो एक सुरक्षित स्रोत से लगता है, लेकिन संक्रमित साइट के लिंक के साथ। शायद कोई अज्ञात स्थान से काम के लिए उपयोगी उपयोगिता डाउनलोड करेगा। हां, आप एक दर्जन से अधिक मामलों के साथ आ सकते हैं, कैसे उपयोगकर्ताओं के माध्यम से मैलवेयर आंतरिक कॉर्पोरेट संसाधनों में घुसपैठ कर सकते हैं। इसलिए, वर्कस्टेशंस पर ध्यान देने की आवश्यकता है, और लेख में हम आपको बताएंगे कि हमलों को ट्रैक करने के लिए कहां और क्या घटनाएं होनी चाहिए।



विंडोज में एक प्रारंभिक चरण में एक हमले का पता लगाने के लिए तीन उपयोगी घटना स्रोत हैं: एक सुरक्षा घटना लॉग, एक सिस्टम मॉनिटरिंग लॉग और पावर शेल लॉग।

सुरक्षा लॉग

यह सिस्टम सुरक्षा लॉग के लिए मुख्य संग्रहण स्थान है। इसमें उपयोगकर्ता लॉगिन / लॉगआउट ईवेंट, वस्तुओं तक पहुंच, नीतियों में परिवर्तन और सुरक्षा संबंधी अन्य गतिविधियां शामिल हैं। बेशक, यदि उपयुक्त नीति कॉन्फ़िगर की गई है।



उपयोगकर्ताओं और समूहों की गणना (घटनाओं 4798 और 4799)। एक हमले की शुरुआत में दुर्भावनापूर्ण सॉफ़्टवेयर अक्सर स्थानीय उपयोगकर्ता खातों और स्थानीय समूहों के माध्यम से अपने अंधेरे मामलों के लिए क्रेडेंशियल खोजने के लिए एक कार्य केंद्र पर जाता है। ये घटनाएँ आगे बढ़ने से पहले दुर्भावनापूर्ण कोड का पता लगाने में मदद करेंगी और एकत्र किए गए डेटा का उपयोग करते हुए अन्य प्रणालियों में फैल जाएगी।

एक स्थानीय खाता बनाना और स्थानीय समूहों (घटनाओं 4720, 4722-4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 और 5377) को बदलना। उदाहरण के लिए, स्थानीय व्यवस्थापकों के समूह में एक नया उपयोगकर्ता जोड़कर एक हमला भी शुरू हो सकता है।

स्थानीय खाते (घटना 4624) के साथ लॉग इन करने का प्रयास। अच्छे उपयोगकर्ता एक डोमेन खाते के साथ लॉग इन करते हैं और एक स्थानीय खाते के तहत एक प्रविष्टि की पहचान करना एक हमले की शुरुआत का संकेत दे सकता है। ईवेंट 4624 में एक डोमेन खाते के तहत लॉगिन भी शामिल है, इसलिए घटनाओं को संसाधित करते समय, आपको उन घटनाओं को फ़िल्टर करने की आवश्यकता होती है जिनमें डोमेन वर्कस्टेशन के नाम से अलग है।

दिए गए खाते के साथ लॉगिन प्रयास (घटना 4648)। यह तब होता है जब प्रक्रिया "रन के रूप में" मोड में चल रही है। सिस्टम के सामान्य संचालन में, यह नहीं होना चाहिए, इसलिए, ऐसी घटनाओं को नियंत्रित किया जाना चाहिए।

वर्कस्टेशन लॉक / अनलॉक (ईवेंट 4800-4803)। संदेहास्पद घटनाओं में कोई भी कार्य शामिल होता है जो एक बंद कार्य केंद्र पर होता है।

फ़ायरवॉल कॉन्फ़िगरेशन परिवर्तन (ईवेंट 4944-4958)। जाहिर है, नए सॉफ़्टवेयर को स्थापित करते समय, फ़ायरवॉल कॉन्फ़िगरेशन सेटिंग्स बदल सकती हैं, जिससे गलत सकारात्मकता पैदा होगी। ज्यादातर मामलों में, इस तरह के परिवर्तनों को नियंत्रित करना आवश्यक नहीं है, लेकिन उनके बारे में जानना अतिश्योक्तिपूर्ण नहीं होगा।

Plug'n'play डिवाइसेस को कनेक्ट करना (इवेंट 6416 और केवल WIndows 10 के लिए)। इसकी निगरानी करना महत्वपूर्ण है, यदि उपयोगकर्ता आमतौर पर नए उपकरणों को कार्य केंद्र से कनेक्ट नहीं करते हैं, और फिर अचानक, उन्होंने इसे कनेक्ट किया है।

विंडोज में फाइन-ट्यूनिंग के लिए 9 ऑडिट श्रेणियां और 50 उपश्रेणियाँ शामिल हैं। उपश्रेणियों का न्यूनतम सेट जिसे सेटिंग्स में शामिल किया जाना चाहिए:

लोगन / लॉगऑफ

• लॉग ऑन;
• logoff;
• खाता लॉकआउट;
• अन्य लोगन / लॉगऑफ इवेंट।

खाता प्रबंधन

• उपयोगकर्ता खाता प्रबंधन;
• सुरक्षा समूह प्रबंधन।

नीति में बदलाव

• ऑडिट नीति में बदलाव
• प्रमाणीकरण नीति परिवर्तन;
• प्राधिकरण नीति में बदलाव।

सिस्टम मॉनिटर (Sysmon)

Sysmon विंडोज में एक अंतर्निहित उपयोगिता है जो सिस्टम लॉग में घटनाओं को लिख सकता है। आमतौर पर इसे अलग से स्थापित करना आवश्यक है।



सुरक्षा लॉग में (वांछित ऑडिट नीति को शामिल करके) समान घटनाएँ सिद्धांत रूप में पाई जा सकती हैं, लेकिन Sysmon अधिक विवरण प्रदान करता है। Sysmon से कौन सी घटनाएँ ली जा सकती हैं?

एक प्रक्रिया बनाना (इवेंट आईडी 1)। सुरक्षा घटनाओं का सिस्टम इवेंट लॉग यह भी बता सकता है कि कब कुछ * .exe शुरू हो गया है और यहां तक ​​कि अपना नाम और प्रारंभ पथ भी दिखा सकता है। लेकिन Sysmon के विपरीत, यह एप्लिकेशन का हैश नहीं दिखा पाएगा। दुर्भावनापूर्ण सॉफ़्टवेयर को हानिरहित notepad.exe भी कहा जा सकता है, लेकिन यह हैश है जो इसे साफ पानी में डाल देगा।

नेटवर्क कनेक्शन (इवेंट आईडी 3)। जाहिर है, कई नेटवर्क कनेक्शन हैं, और आप सभी का ध्यान नहीं रख सकते। लेकिन यह ध्यान रखना महत्वपूर्ण है कि सिक्योरिटी लॉग के विपरीत, सिसमोन, प्रोसिड और प्रोसेग्यूआईडी क्षेत्रों के लिए एक नेटवर्क कनेक्शन को बांध सकता है, स्रोत और रिसीवर के पोर्ट और आईपी पते दिखाता है।

रजिस्ट्री में परिवर्तन (घटना आईडी 12-14)। स्टार्टअप में खुद को जोड़ने का सबसे आसान तरीका रजिस्ट्री में पंजीकरण करना है। सिक्योरिटी लॉग यह कर सकता है, लेकिन Sysmon दिखाता है कि किसने, कब, कहां, प्रक्रिया आईडी और पिछले प्रमुख मूल्य में बदलाव किए हैं।

फ़ाइल निर्माण (इवेंट आईडी 11)। Sysmon, Security Log के विपरीत, न केवल फ़ाइल का स्थान, बल्कि उसका नाम भी दिखाएगा। यह स्पष्ट है कि आप हर चीज पर नज़र नहीं रख सकते हैं, लेकिन आप कुछ निर्देशिकाओं का ऑडिट भी कर सकते हैं।

और अब सुरक्षा लॉग नीतियों में क्या नहीं है, लेकिन Sysmon में हैं:

फ़ाइल निर्माण समय बदलें (इवेंट ID 2)। कुछ मैलवेयर हाल ही में बनाई गई फ़ाइलों के साथ रिपोर्ट से छिपाने के लिए फ़ाइल निर्माण तिथि को बदल सकते हैं।

डाउनलोड ड्राइवरों और गतिशील पुस्तकालयों (इवेंट आईडी 6-7)। डीएलएल और डिवाइस ड्राइवरों को मेमोरी में लोड करना, डिजिटल हस्ताक्षर का सत्यापन और इसकी वैधता का पता लगाना।

एक चल रही प्रक्रिया (इवेंट ID 8) में एक धागा बनाना। हमले के प्रकारों में से एक, जिसकी निगरानी भी की जानी चाहिए।

RawAccessRead इवेंट (इवेंट ID 9)। "\\। \" का उपयोग करके डिस्क से संचालन पढ़ें। अधिकांश मामलों में, इस तरह की गतिविधि को असामान्य माना जाना चाहिए।

एक नामित फ़ाइल स्ट्रीम (इवेंट ID 15) बनाना। जब एक नामित फ़ाइल स्ट्रीम उत्पन्न होती है, तो एक ईवेंट लॉग होता है जो फ़ाइल की सामग्री के हैश के साथ ईवेंट उत्पन्न करता है।

एक नामित पाइप और कनेक्शन बनाना (इवेंट आईडी 17-18)। एक नामांकित पाइप के माध्यम से अन्य घटकों के साथ संचार करने वाले दुर्भावनापूर्ण कोड को ट्रैक करना।

डब्ल्यूएमआई गतिविधि (इवेंट आईडी 19)। WMI प्रोटोकॉल के माध्यम से सिस्टम तक पहुंचने पर उत्पन्न होने वाली घटनाओं का पंजीकरण।

Sysmon की सुरक्षा के लिए, आपको ID 4 (बंद करो और Sysmon शुरू) और ID 16 (Sysmon कॉन्फ़िगरेशन बदलें) के साथ घटनाओं को ट्रैक करना होगा।

पावर शैल पत्रिकाएँ

पावर शेल विंडोज इंफ्रास्ट्रक्चर के प्रबंधन के लिए एक शक्तिशाली उपकरण है, इसलिए एक अच्छा मौका है कि हमलावर इसे चुन लेगा। आप Power Shell घटनाओं के बारे में जानकारी प्राप्त करने के लिए दो स्रोतों का उपयोग कर सकते हैं: Windows PowerShell लॉग और Microsoft-WindowsPowerShell / ऑपरेशनल लॉग।

विंडोज पॉवरशेल लॉग

डेटा प्रदाता लोड किया गया (ईवेंट आईडी 600)। PowerShell प्रदाता ऐसे प्रोग्राम हैं जो PowerShell के डेटा स्रोत के रूप में कार्य करते हैं और उन्हें देखते हैं। उदाहरण के लिए, अंतर्निहित प्रदाता विंडोज पर्यावरण चर या रजिस्ट्री हो सकते हैं। समय में दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए नए आपूर्तिकर्ताओं के उद्भव की निगरानी की जानी चाहिए। उदाहरण के लिए, यदि आप WSMan को प्रदाताओं के बीच दिखाई देते हैं, तो एक दूरस्थ PowerShell सत्र शुरू किया गया है।

Microsoft-WindowsPowerShell / ऑपरेशनल लॉग (या MicrosoftWindows-PowerShellCore / ऑपरेशनल PowerShell 6 में)

मॉड्यूल जर्नलिंग (इवेंट आईडी 4103)। ईवेंट निष्पादित की गई प्रत्येक कमांड और उस पैरामीटर के बारे में जानकारी संग्रहीत करता है जिसके साथ इसे बुलाया गया था।

स्क्रिप्ट लॉक लॉगिंग (इवेंट आईडी 4104)। स्क्रिप्ट लॉक लॉगिंग PowerShell कोड के प्रत्येक ब्लॉक को निष्पादित करता है। यहां तक ​​कि अगर कोई हमलावर कमांड को छिपाने की कोशिश करता है, तो इस प्रकार की घटना वास्तव में निष्पादित PowerShell कमांड को दिखाएगी। इस प्रकार के आयोजन में भी, कुछ निम्न-स्तरीय API कॉल को रिकॉर्ड किया जा सकता है, इन घटनाओं को आमतौर पर Verbose के रूप में लिखा जाता है, लेकिन यदि किसी कोड ब्लॉक में एक संदिग्ध कमांड या स्क्रिप्ट का उपयोग किया जाता है, तो इसे महत्वपूर्णता के साथ चेतावनी के रूप में पंजीकृत किया जाएगा।

कृपया ध्यान दें कि इन घटनाओं को इकट्ठा करने और उनका विश्लेषण करने के लिए उपकरण स्थापित करने के बाद, झूठी सकारात्मकता की संख्या को कम करने के लिए अतिरिक्त डिबगिंग समय की आवश्यकता होगी।

हमें टिप्पणियों में बताएं कि आप सूचना सुरक्षा ऑडिटिंग के लिए क्या लॉग इकट्ठा करते हैं और इसके लिए आप कौन से टूल का उपयोग करते हैं। हमारे क्षेत्रों में से एक सूचना सुरक्षा घटनाओं के ऑडिटिंग के लिए समाधान है। लॉग को इकट्ठा करने और विश्लेषण करने की समस्या को हल करने के लिए, हम क्वेस्ट इनट्रस्ट पर करीब से नज़र डाल सकते हैं, जो संग्रहीत डेटा को 20: 1 के अनुपात के साथ संपीड़ित कर सकता है, और एक स्थापित उदाहरण 10,000 स्रोतों से प्रति सेकंड 60,000 घटनाओं को संसाधित करने में सक्षम है।