اهمیت لاگ‌های کمتر شناخته‌شده ویندوز در کشف تهدید و تحلیل Forensic
روزبه نوروزی
بخش اول
مقدمه
یکی از مهم‌ترین مهارت‌های تحلیل‌گران امنیتی و تیم‌های SOC، توانایی به “درست دیدن” و “درست پرسیدن” سوال‌های جست‌وجو در داده‌های عظیم است. بخش عمده‌ای از این داده‌ها در اکوسیستم ویندوزی، مربوط به رویدادها و لاگ‌هایی است که سیستم‌عامل به طور مستمر در پس‌زمینه جمع‌آوری می‌کند. معمولاً قضاوت درباره ارزش این لاگ‌ها به سه دسته اصلی System، Application و Security خلاصه می‌شود؛ اما ویندوز فراتر از این سه، ده‌ها کانال و منبع دیگر برای لاگ‌نویسی دارد که عمدتاً دست‌نخورده و ناشناخته باقی می‌مانند—درحالی‌که همین لاگ‌های “کمتر شناخته‌شده” می‌توانند سرنوشت یک تحقیقات Forensic یا فرآیند شکار تهدید (Threat Hunting) را دگرگون کنند.
ساختار و تنوع لاگ‌های ویندوز
هر سیستم ویندوزی به‌طور متوسط شامل ده‌ها لاگ فعال است که در مسیرهای مختلف Event Viewer طبقه‌بندی شده‌اند. علاوه بر “سه گانه کلاسیک” (System, Application, Security)، انواع Operational و Diagnostic نیز وجود دارند که عموماً برای عیب‌یابی، توسعه نرم‌افزار، تحلیل عملکرد یا بررسی رویدادهای سیستمی خاص نوشته می‌شوند.
این لاگ‌ها دارای سطح دسترسی و پراکندگی متفاوتی‌اند؛ برخی فقط با سطح Administrator قابل مشاهده‌اند و برخی صرفاً در قالب لاگ ماشین (Machine-level) ذخیره می‌شوند. نکته کلیدی اینجاست که در بسیاری از سازمان‌ها به علت عدم آگاهی یا کم‌اهمیت فرض کردن این منابع، بررسی آن‌ها نادیده گرفته شده و ریسک “دیدن تنها نوک کوه یخ فعالیت مهاجم” وجود دارد.
کمبود لاگ، طلای پنهان: چرا باید سراغ منابع غیراستاندارد رفت؟
در بسیاری از حملات، مهاجمین آگاهانه تلاش می‌کنند ردپای خود را در لاگ‌های اصلی پاک کنند، یا برای مدت کوتاهی حضور خود را مخفی نگه‌دارند. همچنین در محیط‌های عملیاتی و سیستم‌هایی که لاگ‌گیری کامل یا ابزارهای EDR پیشرفته ندارند—مثلاً شبکه‌های صنعتی قدیمی یا بخش‌هایی از نیم‌سازمان‌های دولتی—اتکا به منابع پیش‌فرض و افزونه نشده، اجتناب‌ناپذیر است.
در اینجاست که مرور و تحلیل Event Logهای فرعی مانند Shell-Core، AppModel-Runtime، TaskScheduler، VHDMP و غیره به عنوان «طلای پنهان» قابلیت استناد و اعتماد بالقوه را پیدا می‌کند.
پایان بخش اول
#آکادمی_روزبه
مرکز تخصصی CISSP
این مقاله ادامه دارد ....
روزبه نوروزی
بخش اول
مقدمه
یکی از مهم‌ترین مهارت‌های تحلیل‌گران امنیتی و تیم‌های SOC، توانایی به “درست دیدن” و “درست پرسیدن” سوال‌های جست‌وجو در داده‌های عظیم است. بخش عمده‌ای از این داده‌ها در اکوسیستم ویندوزی، مربوط به رویدادها و لاگ‌هایی است که سیستم‌عامل به طور مستمر در پس‌زمینه جمع‌آوری می‌کند. معمولاً قضاوت درباره ارزش این لاگ‌ها به سه دسته اصلی System، Application و Security خلاصه می‌شود؛ اما ویندوز فراتر از این سه، ده‌ها کانال و منبع دیگر برای لاگ‌نویسی دارد که عمدتاً دست‌نخورده و ناشناخته باقی می‌مانند—درحالی‌که همین لاگ‌های “کمتر شناخته‌شده” می‌توانند سرنوشت یک تحقیقات Forensic یا فرآیند شکار تهدید (Threat Hunting) را دگرگون کنند.
ساختار و تنوع لاگ‌های ویندوز
هر سیستم ویندوزی به‌طور متوسط شامل ده‌ها لاگ فعال است که در مسیرهای مختلف Event Viewer طبقه‌بندی شده‌اند. علاوه بر “سه گانه کلاسیک” (System, Application, Security)، انواع Operational و Diagnostic نیز وجود دارند که عموماً برای عیب‌یابی، توسعه نرم‌افزار، تحلیل عملکرد یا بررسی رویدادهای سیستمی خاص نوشته می‌شوند.
این لاگ‌ها دارای سطح دسترسی و پراکندگی متفاوتی‌اند؛ برخی فقط با سطح Administrator قابل مشاهده‌اند و برخی صرفاً در قالب لاگ ماشین (Machine-level) ذخیره می‌شوند. نکته کلیدی اینجاست که در بسیاری از سازمان‌ها به علت عدم آگاهی یا کم‌اهمیت فرض کردن این منابع، بررسی آن‌ها نادیده گرفته شده و ریسک “دیدن تنها نوک کوه یخ فعالیت مهاجم” وجود دارد.
کمبود لاگ، طلای پنهان: چرا باید سراغ منابع غیراستاندارد رفت؟
در بسیاری از حملات، مهاجمین آگاهانه تلاش می‌کنند ردپای خود را در لاگ‌های اصلی پاک کنند، یا برای مدت کوتاهی حضور خود را مخفی نگه‌دارند. همچنین در محیط‌های عملیاتی و سیستم‌هایی که لاگ‌گیری کامل یا ابزارهای EDR پیشرفته ندارند—مثلاً شبکه‌های صنعتی قدیمی یا بخش‌هایی از نیم‌سازمان‌های دولتی—اتکا به منابع پیش‌فرض و افزونه نشده، اجتناب‌ناپذیر است.
در اینجاست که مرور و تحلیل Event Logهای فرعی مانند Shell-Core، AppModel-Runtime، TaskScheduler، VHDMP و غیره به عنوان «طلای پنهان» قابلیت استناد و اعتماد بالقوه را پیدا می‌کند.
پایان بخش اول
#آکادمی_روزبه
مرکز تخصصی CISSP
این مقاله ادامه دارد ....
Comments
Be the first to add a comment
Log in to comment