سیسمون و Audit در ویندوز برای SOC

✍️روزبه نوروزی

میدونیم که سیسمون چه رویداد هایی رو لاگ می‌اندازد. و می‌دونیم ویندوز بصورت پیش فرض یکسری رویداد ها را لاگ نمی‌کند و لازم است Audit را تنظیم کرد. حالا با نگاهی به حملات بیایید بررسی کنیم چه چیزهایی رو نمیشه با تنظیم سیسمون گرفت و لازمه با تنظیم audit در ویندوز لاگ گیری کرد ،  آیا سیسمون به تنهایی کافیه؟

سیسمون (Sysmon) یک ابزار قدرتمند برای لاگ‌گیری از فعالیت‌های سیستمی در ویندوز است، اما محدودیت‌هایی دارد که باعث می‌شود در برخی موارد نیاز به تنظیمات Windows Audit Policy باشد. در اینجا برخی از حملات را بررسی می‌کنیم و مشخص می‌کنیم که آیا سیسمون به‌تنهایی کافی است یا باید از Windows Audit نیز استفاده شود:
۱. حملات اجرای کد از راه دور (RCE) و Exploitation
✅ سیسمون لاگ می‌گیرد:
این Sysmon با Event ID 1 (Process Creation) می‌تواند اجرای پردازش‌های مشکوک را ثبت کند.
Event ID 8 (CreateRemoteThread) و Event ID 10 (ProcessAccess) می‌توانند برای شناسایی حملات تزریق کد به کار روند.
❌ اما کافی نیست، Audit لازم است:
Object Access > Audit Handle Manipulation
می‌تواند برای بررسی دسترسی‌های غیرمجاز روی حافظه یا فایل‌ها کمک کند.
Privilege Use > Audit Sensitive Privilege Use
می‌تواند استفاده از توکن‌های حساس را لاگ کند.
۲. حملات مربوط به دستکاری لاگ‌ها و حذف ردپاها
✅ سیسمون لاگ می‌گیرد:
Event ID 5 (Process Terminated)
برای بررسی فرآیندهای غیرعادی که در تلاش برای حذف ردپاها هستند.
Event ID 22 (DNS Query)
برای شناسایی درخواست‌های مشکوک به سرویس‌های C2.
❌ اما کافی نیست، Audit لازم است:
Audit Policy Change برای بررسی تغییرات در تنظیمات لاگ‌گیری ویندوز.
System > Audit System Integrity
برای بررسی تغییرات غیرمجاز در رجیستری و فایل‌های سیستم.
۳. حملات Pass-the-Hash (PtH) و Pass-the-Ticket (PtT)
✅ سیسمون لاگ می‌گیرد:
Event ID 10 (Process Access) برای مشاهده تلاش‌های دسترسی به پردازش‌های LSASS.
❌ اما کافی نیست، Audit لازم است:
Logon/Logoff > Audit Logon برای ثبت لاگین‌های مشکوک.
Credential Validation > Audit Credential Validation
برای بررسی تأییدیه‌های هویتی.
Special Logon
برای بررسی ورودهای مدیریتی و استفاده از توکن‌های خاص.
۴. حملات مربوط به ایجاد کاربر و تغییر دسترسی‌ها (Privilege Escalation)
✅ سیسمون لاگ می‌گیرد:
Event ID 1 (Process Creation) می‌تواند اجرای ابزارهایی مثل net user یا wmic را ثبت کند.
❌ اما کافی نیست، Audit لازم است:
Account Management > Audit User Account Management برای بررسی ایجاد یا حذف کاربران.
Privilege Use > Audit Privilege Use
برای مشاهده دسترسی‌های سطح بالا.
۵. حملات به Active Directory و Kerberos
✅ سیسمون لاگ می‌گیرد:
Event ID 13 (Registry Key and Value Change)
برای بررسی تغییرات در رجیستری که ممکن است روی Kerberos تأثیر بگذارد.
❌ اما کافی نیست، Audit لازم است:
Account Logon > Audit Kerberos Authentication Service
برای بررسی درخواست‌های احراز هویت Kerberos.
Audit Directory Service Access
برای لاگ کردن تغییرات در Active Directory.
۶. حملات مربوط به اجرای اسکریپت‌های مخرب (PowerShell, WMI, HTA, VBA)
✅ سیسمون لاگ می‌گیرد:
Event ID 1 (Process Creation) برای اجرای اسکریپت‌های مشکوک.
Event ID 11 (File Create)
برای بررسی ایجاد فایل‌های مشکوک.
❌ اما کافی نیست، Audit لازم است:
Script Block Logging در Group Policy
برای لاگ کردن اسکریپت‌های PowerShell.
WMI Auditing
برای بررسی اجرای WMI در سطح سیستم.
نتیجه‌گیری
سیسمون ابزار بسیار خوبی برای مشاهده رفتارهای مشکوک در سطح پردازش، شبکه، و رجیستری است، اما به‌تنهایی برای تحلیل همه‌ی حملات کافی نیست. تنظیم Windows Audit Policy می‌تواند لاگ‌های اضافی و ارزشمندی را فراهم کند، به‌خصوص در موارد زیر:
احراز هویت و لاگین‌ها (Kerberos, PtH, PtT)
دسترسی‌های مدیریتی و تغییرات در سیستم (Account Management, Privilege Use)
دسترسی به Active Directory و لاگ‌های امنیتی (Audit Directory Service Access)
تغییرات در Audit Policy و حذف لاگ‌ها (Audit Policy Change, System Integrity)

این Sysmon را برای بررسی فعالیت‌های مشکوک در سطح پردازش و رجیستری فعال نگه‌دارید.
مقوله Windows Audit Policy را روی دسته‌های Logon, Privilege Use, Object Access, و System Integrity تنظیم کنید تا حملات پیچیده‌تر قابل مشاهده باشند.


#آکادمی_روزبه
#من_آموزش_میدهم