قسمت دوم از پست قبل
مثال‌های عملی: کاربرد لاگ‌های خاص در کشف تهدید
۱. Microsoft-Windows-Shell-Core/Operational
این کانال، به طور خاص رفتار پروسه‌هایی را جمع‌آوری می‌کند که با پایداری شروع به کار یا اجرا از مسیرهای حساس رجیستری (مانند Run یا RunOnce) دارند.
EID 9707:
این رویداد زمانی لاگ می‌شود که برنامه‌ای با استفاده از کلیدهای مذکور استارت می‌شود. در این لاگ، CommandLine کامل و اطلاعات اجرایی ثبت می‌شود؛ یک منبع بی‌نظیر برای شناسایی پایایی‌های ساده و رایج مانند Run Keys که مهاجمان برای باقی‌ماندن پس از ریبوت استفاده می‌کنند.
نمونه‌ی واقعی: مهاجمی که بدافزار خود را به CommandLine Run اضافه کند، حتی با پاکسازی سایر لاگ‌ها، این ایونت را در دیفالت‌ترین حالت خواهد داشت.
EID 9708:
خاتمه اجرای همان پروسه را با PID مربوط لاگ می‌کند. قابلیت “Correlation” با EID 9707 نه‌تنها طول عمر پروسه، بلکه بررسی آثار آن پس از اجرا را هم ممکن می‌کند.
EID 28115:
هر افزوده شدن شورتکات به App Resolver Cache را ارجاع می‌دهد—که معمولاً در نتیجه نصب برنامه‌ی جدید یا تکنیک‌های نصب سایلنت رخ می‌دهد. این event زمانی به‌کار می‌آید که رفتار غیرمنتظره نصب برنامه جدید را بدون دخالت کاربر می‌خواهیم کشف کنیم.
۲. Microsoft-Windows-WinINet-Config/ProxyConfigChanged
این منبع برای تمامی تغییرات در تنظیمات Proxy (سیستم یا مرورگر) دارای EID 5600 است.
اهمیت آن چیست؟
مهاجم برای پنهان‌کاری فعالیت، عبور ترافیک به سرور فرماندهی یا دور زدن فیلترینگ داخلی ممکن است پروکسی را تغییر دهد. چنین رویدادی، که معمولاً در لاگ‌گیری سنتی فایروال یا آنتی‌ویروس منعکس نمی‌شود، می‌تواند نقطه شروع تحلیل تفصیلی باشد.
استفاده عملی:
در پیگیری حمله، مشاهده چندین تغییر ProxyConfig بدون دلیل موجه یا همراه شدن با اجرای سیستم‌های ناشناس، قرینه بارزی از فعالیت C2 یا Exfiltration است.
۳. سایر منابع کارآمد برای SOC و Forensic
Microsoft-Windows-TaskScheduler/Operational
هرنوع اصلاح، حذف، فعال/غیرفعال کردن یا اجرای زمان‌بندی‌شده jobs را ثبت می‌کند. بسیار کاربردی برای کشف Techniques like Scheduled Task Persistence/T1053.
Microsoft-Windows-VHDMP-Operational
تمامی نصب (Mount) یا جداسازی (Unmount) دیسک‌های مجازی (VHD/VHDX) را با جزییات ثبت می‌کند. برخی بدافزارها یا مهاجمان برای مخفی کردن داده یا اجرای ابزار محافظت‌شده از این تکنیک بهره می‌برند.
Microsoft-Windows-AppModel-Runtime/Operational
رویدادهای مرتبط با اجرا، نصب، و به‌روزرسانی پکیج‌های برنامه‌های مدرن ویندوز (UWP/Store apps) را نگهداری می‌کند که در حملات مبتنی بر App Sideloading یا برنامه‌های خاص اهمیت دارد.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ....
مثال‌های عملی: کاربرد لاگ‌های خاص در کشف تهدید
۱. Microsoft-Windows-Shell-Core/Operational
این کانال، به طور خاص رفتار پروسه‌هایی را جمع‌آوری می‌کند که با پایداری شروع به کار یا اجرا از مسیرهای حساس رجیستری (مانند Run یا RunOnce) دارند.
EID 9707:
این رویداد زمانی لاگ می‌شود که برنامه‌ای با استفاده از کلیدهای مذکور استارت می‌شود. در این لاگ، CommandLine کامل و اطلاعات اجرایی ثبت می‌شود؛ یک منبع بی‌نظیر برای شناسایی پایایی‌های ساده و رایج مانند Run Keys که مهاجمان برای باقی‌ماندن پس از ریبوت استفاده می‌کنند.
نمونه‌ی واقعی: مهاجمی که بدافزار خود را به CommandLine Run اضافه کند، حتی با پاکسازی سایر لاگ‌ها، این ایونت را در دیفالت‌ترین حالت خواهد داشت.
EID 9708:
خاتمه اجرای همان پروسه را با PID مربوط لاگ می‌کند. قابلیت “Correlation” با EID 9707 نه‌تنها طول عمر پروسه، بلکه بررسی آثار آن پس از اجرا را هم ممکن می‌کند.
EID 28115:
هر افزوده شدن شورتکات به App Resolver Cache را ارجاع می‌دهد—که معمولاً در نتیجه نصب برنامه‌ی جدید یا تکنیک‌های نصب سایلنت رخ می‌دهد. این event زمانی به‌کار می‌آید که رفتار غیرمنتظره نصب برنامه جدید را بدون دخالت کاربر می‌خواهیم کشف کنیم.
۲. Microsoft-Windows-WinINet-Config/ProxyConfigChanged
این منبع برای تمامی تغییرات در تنظیمات Proxy (سیستم یا مرورگر) دارای EID 5600 است.
اهمیت آن چیست؟
مهاجم برای پنهان‌کاری فعالیت، عبور ترافیک به سرور فرماندهی یا دور زدن فیلترینگ داخلی ممکن است پروکسی را تغییر دهد. چنین رویدادی، که معمولاً در لاگ‌گیری سنتی فایروال یا آنتی‌ویروس منعکس نمی‌شود، می‌تواند نقطه شروع تحلیل تفصیلی باشد.
استفاده عملی:
در پیگیری حمله، مشاهده چندین تغییر ProxyConfig بدون دلیل موجه یا همراه شدن با اجرای سیستم‌های ناشناس، قرینه بارزی از فعالیت C2 یا Exfiltration است.
۳. سایر منابع کارآمد برای SOC و Forensic
Microsoft-Windows-TaskScheduler/Operational
هرنوع اصلاح، حذف، فعال/غیرفعال کردن یا اجرای زمان‌بندی‌شده jobs را ثبت می‌کند. بسیار کاربردی برای کشف Techniques like Scheduled Task Persistence/T1053.
Microsoft-Windows-VHDMP-Operational
تمامی نصب (Mount) یا جداسازی (Unmount) دیسک‌های مجازی (VHD/VHDX) را با جزییات ثبت می‌کند. برخی بدافزارها یا مهاجمان برای مخفی کردن داده یا اجرای ابزار محافظت‌شده از این تکنیک بهره می‌برند.
Microsoft-Windows-AppModel-Runtime/Operational
رویدادهای مرتبط با اجرا، نصب، و به‌روزرسانی پکیج‌های برنامه‌های مدرن ویندوز (UWP/Store apps) را نگهداری می‌کند که در حملات مبتنی بر App Sideloading یا برنامه‌های خاص اهمیت دارد.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ....
Comments
Be the first to add a comment
Log in to comment