ابزارهای EDR چگونه قلب ویندوز را پایش می‌کنند؟
رجیستری ویندوز همواره یکی از جذاب‌ترین اهداف برای مهاجمان سایبری بوده است. در گذشته، بدافزارهای پیشرفته‌ای مانند Poweliks با استفاده از تکنیک‌های بدون فایل (Fileless) و ذخیره کدهای مخرب در قالب کاراکترهای نامرئی (مثل Null-Byte) در رجیستری، از چشم آنتی‌ویروس‌های سنتی پنهان می‌ماندند. اما امروزه با تکامل سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR)، مخفی شدن در این بخش از سیستم‌عامل به شدت دشوار شده است.
سیستم‌های EDR برخلاف آنتی‌ویروس‌های قدیمی که عمدتاً فایل‌های روی دیسک را اسکن می‌کردند، رویکردی پویا و مبتنی بر رفتار دارند. آن‌ها رجیستری را از طریق سه مکانیزم اصلی به یک منطقه تحت نظارت شدید تبدیل کرده‌اند:
مهم‌ترین ابزار در این معماری، استفاده از توابع کال بک رجیستری ویندوز (Kernel Registry Callbacks) است. نرم‌افزارهای EDR با نصب یک درایور در عمیق‌ترین لایه سیستم‌عامل (Kernel)، به رابطی مانند CmRegisterCallback متصل می‌شوند. این مکانیزم ویندوز را موظف می‌کند پیش از انجام هرگونه عملیات خواندن، نوشتن یا حذف در رجیستری، آن را به EDR گزارش دهد تا در صورت مخرب بودن، عملیات مسدود شود.
در کنار این، EDRها از سیستم ردیابی رویدادهای ویندوز (ETW) نیز بهره می‌برند. ETW مانند یک شبکه دوربین مداربسته پرسرعت عمل می‌کند و جریانی از داده‌ها را در اختیار EDR قرار می‌دهد تا مشخص شود دقیقاً چه پروسه‌ای در چه زمانی تغییری ایجاد کرده است. تکنیک مکمل دیگر، هوک کردن رابط‌های برنامه‌نویسی (API Hooking) برای شنود توابع دسترسی به رجیستری در حافظه است.
در طول این وارسی‌های دقیق، EDRها به دنبال الگوهای مشکوک هستند. تلاش برای تغییر در مسیرهای اجرای خودکار، ذخیره اسکریپت‌های حجیم به جای داده‌های استاندارد در مقادیر رجیستری، زنجیره‌های اجرایی غیرمنطقی (مثلاً تلاش نرم‌افزار Word برای ساخت کلید سیستمی) و استفاده از کاراکترهای غیرمجاز، بلافاصله زنگ خطر را به صدا درمی‌آورند. با این مکانیزم‌های چندلایه، رجیستری ویندوز دیگر مخفیگاه امنی برای تهدیدات سایبری نیست.
رجیستری ویندوز همواره یکی از جذاب‌ترین اهداف برای مهاجمان سایبری بوده است. در گذشته، بدافزارهای پیشرفته‌ای مانند Poweliks با استفاده از تکنیک‌های بدون فایل (Fileless) و ذخیره کدهای مخرب در قالب کاراکترهای نامرئی (مثل Null-Byte) در رجیستری، از چشم آنتی‌ویروس‌های سنتی پنهان می‌ماندند. اما امروزه با تکامل سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR)، مخفی شدن در این بخش از سیستم‌عامل به شدت دشوار شده است.
سیستم‌های EDR برخلاف آنتی‌ویروس‌های قدیمی که عمدتاً فایل‌های روی دیسک را اسکن می‌کردند، رویکردی پویا و مبتنی بر رفتار دارند. آن‌ها رجیستری را از طریق سه مکانیزم اصلی به یک منطقه تحت نظارت شدید تبدیل کرده‌اند:
مهم‌ترین ابزار در این معماری، استفاده از توابع کال بک رجیستری ویندوز (Kernel Registry Callbacks) است. نرم‌افزارهای EDR با نصب یک درایور در عمیق‌ترین لایه سیستم‌عامل (Kernel)، به رابطی مانند CmRegisterCallback متصل می‌شوند. این مکانیزم ویندوز را موظف می‌کند پیش از انجام هرگونه عملیات خواندن، نوشتن یا حذف در رجیستری، آن را به EDR گزارش دهد تا در صورت مخرب بودن، عملیات مسدود شود.
در کنار این، EDRها از سیستم ردیابی رویدادهای ویندوز (ETW) نیز بهره می‌برند. ETW مانند یک شبکه دوربین مداربسته پرسرعت عمل می‌کند و جریانی از داده‌ها را در اختیار EDR قرار می‌دهد تا مشخص شود دقیقاً چه پروسه‌ای در چه زمانی تغییری ایجاد کرده است. تکنیک مکمل دیگر، هوک کردن رابط‌های برنامه‌نویسی (API Hooking) برای شنود توابع دسترسی به رجیستری در حافظه است.
در طول این وارسی‌های دقیق، EDRها به دنبال الگوهای مشکوک هستند. تلاش برای تغییر در مسیرهای اجرای خودکار، ذخیره اسکریپت‌های حجیم به جای داده‌های استاندارد در مقادیر رجیستری، زنجیره‌های اجرایی غیرمنطقی (مثلاً تلاش نرم‌افزار Word برای ساخت کلید سیستمی) و استفاده از کاراکترهای غیرمجاز، بلافاصله زنگ خطر را به صدا درمی‌آورند. با این مکانیزم‌های چندلایه، رجیستری ویندوز دیگر مخفیگاه امنی برای تهدیدات سایبری نیست.
Comments
Be the first to add a comment
Log in to comment