Windows má profesionálny nástroj na monitorovanie, ktorý by ste pravdepodobne mali zapnúť
Pravdepodobne predpokladáte, že ak sa na vašom počítači stane niečo podozrivé, váš antivírus to zachytí. A možno áno - nakoniec. Ale keď tradičný bezpečnostný softvér zareaguje, škody už môžu byť spôsobené. Čo ak by váš počítač mohol viesť podrobný, priebežný zápisník všetkého, čo sa deje „pod kapotou“: každý proces, ktorý sa spustí, každé sieťové pripojenie, ktoré sa otvorí, každý raz, keď sa podozrivo zmení čas vytvorenia súboru?
Presne to je to, čo Sysmon robí. Je to bezplatný nástroj vyvinutý spoločnosťou Microsoft, ktorý patrí do širšej kategórie nástrojov Windows Sysinternals určených na zachytávanie podozrivého správania. Zaujímavé je, že aj keď sú tieto nástroje zlatým štandardom pre odhaľovanie spywaru a adwaru na vašom počítači, väčšina bežných používateľov Windows o nich možno nikdy nepočula.
Sysmon poskytuje Windows úroveň viditeľnosti, ktorú jeho vstavané protokolovanie nemôže dosiahnuť
Prehliadač udalostí nikdy nebol dostatočný
Windows už udržiava protokoly udalostí a ak ste niekedy otvorili Event Viewer, aby ste riešili problémy, pravdepodobne ste si všimli, ako chaoticky môžu pôsobiť. Je tu veľa šumu a nie vždy dostatočná zrozumiteľnosť. Sysmon, skrátene System Monitor, je úplne iná kategória. Po inštalácii beží ako trvalá systémová služba a ovládač zariadenia, pretrváva aj po reštarte a zapisuje podrobné udalosti do protokolu udalostí Windows. Rozdiel je podobný porovnaniu hrubozrnnej bezpečnostnej kamery s kamerou schopnou čítať evidenčné čísla áut.
Katalóg udalostí Sysmon zaznamenáva vytváranie procesov spolu s úplnými argumentmi príkazového riadku, takže nevidíte len to, že sa program spustil, ale aj to, ako bol spustený. Zaznamenáva tiež sieťové pripojenia, vrátane pôvodného procesu, IP adresy, portu a názvu hostiteľa. To umožňuje sledovať, ktorá aplikácia kontaktovala ktorý server a kedy. Dokonca zaznamenáva zmeny časových pečiatok vytvárania súborov, čo je klasický trik, ktorý malware používa na maskovanie ako legitímne systémové súbory. Okrem toho Sysmon sleduje načítavanie ovládačov, zmeny v registri, DNS dotazy a pokročilejšie techniky, ako napríklad vyprázdnenie procesu (process hollowing), zaznamenané pod ID udalosti 25, kde sa škodlivý kód ukrýva v inak nevyhnutnom procese Windows.
Tu je návrhová tabuľka pokrývajúca najviac relevantné ID udalostí z hľadiska bezpečnosti:
ID udalosti | Meno | Čo to zachytáva |
|---|---|---|
1 | Vytvoriť proces | Každý proces, ktorý sa spustí, vrátane úplného príkazového riadku, nadradeného procesu a hash súboru. Je to najdôležitejší udalostný záznam pre odhaľovanie podozrivých spustení. |
2 | Čas vytvorenia súboru sa zmenil |
Zaznamenáva, keď proces úmyselne mení čas vytvorenia súboru, čo je klasická taktika malvéru na splynutie s legitimnými systémovými súbormi. |
3 | Sieťové pripojenie | Loguje odchádzajúce TCP/UDP pripojenia a spája každé z nich s procesom, ktorý ho vytvoril. Je nevyhnutný na detekciu beaconingu alebo exfiltrácie dát. |
6 | Ovládač načítaný | Zaznamenáva načítavanie jadrových ovládačov vrátane stavu podpisu. Nepodpísané alebo neočakávané ovládače sú vážnym varovným signálom. |
7 | Obrázok načítaný | Sleduje načítanie DLL do procesov; štandardne vypnuté kvôli objemu, ale veľmi účinné pri detekcii unášania DLL pri opatrnom filtrovaní |
|
8 | Vytvoriť diaľkovú vlákno | Detekuje, keď jeden proces vloží vlákno do iného, čo je typická technika útokov na vkladanie kódu a vyprázdňovanie procesov. |
10 | Prístup k procesu | Spustí sa, keď jeden proces otvorí pamäť iného procesu, zachytávajúc nástroje na krádež poverení cielené na LSASS (proces, ktorý uchováva prihlasovacie tajomstvá Windows). |
11 | Vytvoriť súbor | Zaznamenáva nové súbory, ktoré boli vytvorené alebo prepísané, čo je obzvlášť užitočné pri sledovaní priečinkov Temp, Downloads a Startup. |
12-14 | Udalosti registra | Zahŕňa vytváranie, odstraňovanie, zmeny hodnôt a premenovanie kľúčov registra, hlavným spôsobom, akým malware zabezpečuje pretrvávajúcu prítomnosť po reštartoch. |
15 | Súbor Vytvoriť Prúd Hash | Zachytáva súbory stiahnuté cez prehliadač zaznamenávaním pripojeného prúdu identifikátora zóny. Je užitočný na sledovanie pôvodu podozrivých spustiteľných súborov. |
17-18 | Udalosti potrubia | Monitoruje vytváranie a pripojenia pomenovaných rúrok, bežnú metódu medziprocesovej komunikácie používanú malvérom a rámcami post-exploitácie ako Cobalt Strike. |
19-21 | Udalosti WMI | Sleduje registráciu filtra WMI a konzumenta, obľúbenú techniku perzistencie bez súborov, ktorá bez tejto udalosti nezanecháva takmer žiadnu stopu. |
22 | DNS dotaz | Zaznamenáva každý DNS dotaz, ktorý vykoná proces, čo umožňuje odhaliť spojenia s známymi škodlivými doménami ešte pred uskutočnením plného TCP spojenia. |
25 | Zásah do procesu | Detekuje vyprázdňovanie procesov a herpaderping (techniky, ktoré nahradzujú pamäť legitímneho procesu škodlivým kódom, aby sa vyhli detekcii). |
29 | Zistený spustiteľný súbor | Označuje vytvorenie akéhokoľvek nového spustiteľného súboru (formát PE) v systéme, čo je silný skorý indikátor spusteného droppera alebo inštalátora. |
Toto je spôsob, ako spustiť Sysmon
Ak dokážete otvoriť terminál, ste už väčšinou na ceste k cieľu
Sysmon je možné stiahnuť zadarmo z webovej stránky Sysinternals od spoločnosti Microsoft (verzia 15.15 k dátumu tohto písania) a inštalácia je jediným príkazom. Budete potrebovať administrátorské oprávnenia a krátku zastávku cez PowerShell alebo Príkazový riadok, ale celý proces trvá menej ako päť minút.
Prejdite na oficiálnu stránku Sysmon na Microsoft Learn, stiahnite si súbor ZIP (približne 4,6 MB) a rozbaľte jeho obsah. Potom otvorte PowerShell alebo Príkazový riadok ako administrátor, prejdite do priečinka a spustite:
.\sysmon64 -accepteula -i
To je základná inštalácia: Sysmon nainštaluje svoju službu a ovládač na pozadí. Vlastne ani nemusíte reštartovať. Od tohto momentu začína zaznamenávať udalosti do Logy aplikácií a služieb -> Microsoft -> Windows -> Sysmon -> Prevádzkové v Zobrazovači udalostí. Tieto logy si môžete pozrieť okamžite.
Odstránenie je rovnako jednoduché: sysmon64 -u. Nástroj sa nikdy nesnaží zakoreniť sám, čo si vážim.
Otestovaná komunitná konfigurácia robí väčšinu odborných náročných úkonov za vás
Nemusíte na to prísť sami
Predvolená inštalácia Sysmon je funkčná, ale naozaj sa ukáže, keď sa použije konfiguračný súbor. Sysmon prijíma XML konfiguráciu, ktorá určuje, ktoré udalosti sa majú zaznamenávať, ktoré filtrovať a do akej podrobnosti ísť. Ak nie ste oboznámení s týmto formátom, môžete sa oboznámiť s tým, čo je XML súbor a ako ho používať, keďže tieto súbory definujú „logiku“, ktorú Sysmon používa na monitorovanie vášho systému. Vytvoriť vlastný od nuly je projekt — ale nemusíte.
Komunita kybernetickej bezpečnosti vytvorila niekoľko vynikajúcich predpripravených konfigurácií. Najpoužívanejšou je SwiftOnSecurity sysmon-config, dostupná zadarmo na GitHube, s takmer 5 000 hviezdičkami a viac než 1 700 forkov. Bola starostlivo doladená tak, aby zachytila udalosti relevantné pre bezpečnosť, pričom filtrovala šum, ktorý by inak spôsobil, že by boli vaše logy nečitateľné. Každý riadok je komentovaný, takže slúži aj ako návod. Na inštaláciu s touto konfiguráciou by ste spustili:
sysmon64 -accepteula -i sysmonconfig-export.xml
Na aktualizáciu existujúcej inštalácie s novým konfiguračným súborom:
sysmon64 -c sysmonconfig-export.xml
Ak chcete niečo ešte modulárnejšie, projekt sysmon-modular od Olafa Hartonga (na GitHube) ponúka zložitý prístup udržiavaný komunitou, ktorý sa priamo mapuje na rámec MITRE ATT&CK. Obe sú vynikajúce východiskové body.
Nebude zastavovať každý útok, ale budete vedieť, že sa nejaký stal
Na to, aby ste Sysmon používali efektívne, nemusíte byť bezpečnostným inžinierom. Stačí mať slušný konfiguračný súbor, ochotu občas otvoriť Event Viewer a uspokojenie z vedomia, že ak sa na vašom počítači niečo nezvyčajné stane, budete mať o tom záznam. Ten pokoj na duši je pre mňa určite hodný piatich minút nastavenia.