کشف تزریق حافظه با Sysmon ؛ آیا امکان پذیر است؟
تحلیل کاربرد و محدودیت در محیط‌های SOC
✍روزبه نوروزی
مقوله Sysmon یکی از مؤثرترین مؤلفه‌های قابل استفاده در سطح سیستم‌عامل برای کشف فعالیت‌های تزریق حافظه است و در صورت تنظیم درست، قادر به شناسایی تهدیدهای کلاسیک نظیر DLL Injection و Remote Thread Creation می‌باشد.
این ابزار با ثبت رویدادهای حیاتی مانندProcessAccess (Event ID 10) و CreateRemoteThread (Event ID 8)، رفتارهایی را آشکار می‌کند که اغلب در حملات تزریقی مشاهده می‌شوند؛ از جمله نوشتن کد اجرایی در حافظه فرآیندهای معتبر یا ایجاد رشته‌های اجرایی از راه دور. ترکیب این رویدادها پایه‌ای محکم برای تشخیص اولیه تزریق‌های سنتی در سطح User Mode فراهم می‌سازد.
با این حال، قابلیت Sysmon محدود به پوشش تزریق‌های سطح بالا است. روش‌هایی مانند Asynchronous Procedure Call (APC) Injection، Thread Hijacking یا استفاده از Native Syscalls اغلب فراتر از دید Sysmon عمل می‌کنند زیرا در سطح کرنل یا از مسیرهای غیرمعمول فراخوانی‌های سیستمی رخ می‌دهند. کشف این نوع رفتارها مستلزم به‌کارگیری EDR پیشرفته یا ثبت رویدادهای ETW‑based telemetry است تا بتوان تجزیه و تحلیل عمیق‌تر بر اساس contextهای حافظه انجام داد.
در نهایت، اعتبار نتایج Sysmon زمانی بالاتر می‌رود که داده‌های جمع‌آوری‌شده در SIEM هم‌بسته شوند؛ یعنی لاگ‌های Sysmon هم‌زمان با رفتارهای شبکه و نمودارهای Parent‑Child Process تحلیل شوند. این هم‌بستگی چندلایه، از تشخیص سطح لاگ فراتر رفته و دیدی جامع از رفتار مهاجم در محیط سازمان ارائه می‌دهد ؛ همان چیزی که یک SOC مدرن برای پاسخ مؤثر و دقیق به حملات مبتنی بر تزریق حافظه به آن نیاز دارد.
پس در انتخاب EDR خود دقت کنید تا SOC شما کور نشود !!
و محدودیت های سیسمون رو بشناسید
#آکادمی_روزبه
تحلیل کاربرد و محدودیت در محیط‌های SOC
✍روزبه نوروزی
مقوله Sysmon یکی از مؤثرترین مؤلفه‌های قابل استفاده در سطح سیستم‌عامل برای کشف فعالیت‌های تزریق حافظه است و در صورت تنظیم درست، قادر به شناسایی تهدیدهای کلاسیک نظیر DLL Injection و Remote Thread Creation می‌باشد.
این ابزار با ثبت رویدادهای حیاتی مانندProcessAccess (Event ID 10) و CreateRemoteThread (Event ID 8)، رفتارهایی را آشکار می‌کند که اغلب در حملات تزریقی مشاهده می‌شوند؛ از جمله نوشتن کد اجرایی در حافظه فرآیندهای معتبر یا ایجاد رشته‌های اجرایی از راه دور. ترکیب این رویدادها پایه‌ای محکم برای تشخیص اولیه تزریق‌های سنتی در سطح User Mode فراهم می‌سازد.
با این حال، قابلیت Sysmon محدود به پوشش تزریق‌های سطح بالا است. روش‌هایی مانند Asynchronous Procedure Call (APC) Injection، Thread Hijacking یا استفاده از Native Syscalls اغلب فراتر از دید Sysmon عمل می‌کنند زیرا در سطح کرنل یا از مسیرهای غیرمعمول فراخوانی‌های سیستمی رخ می‌دهند. کشف این نوع رفتارها مستلزم به‌کارگیری EDR پیشرفته یا ثبت رویدادهای ETW‑based telemetry است تا بتوان تجزیه و تحلیل عمیق‌تر بر اساس contextهای حافظه انجام داد.
در نهایت، اعتبار نتایج Sysmon زمانی بالاتر می‌رود که داده‌های جمع‌آوری‌شده در SIEM هم‌بسته شوند؛ یعنی لاگ‌های Sysmon هم‌زمان با رفتارهای شبکه و نمودارهای Parent‑Child Process تحلیل شوند. این هم‌بستگی چندلایه، از تشخیص سطح لاگ فراتر رفته و دیدی جامع از رفتار مهاجم در محیط سازمان ارائه می‌دهد ؛ همان چیزی که یک SOC مدرن برای پاسخ مؤثر و دقیق به حملات مبتنی بر تزریق حافظه به آن نیاز دارد.
پس در انتخاب EDR خود دقت کنید تا SOC شما کور نشود !!
و محدودیت های سیسمون رو بشناسید
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment