درسی برای دانشجویان سطح ۲ و ممیزان
🟣کاربرد مهم TokenElevationType در تحلیل لاگ و ممیزی
در مانیتورینگ لاگ یا Threat Hunting، این فیلد سرنخ‌ها و کاربردهای زیر دارد:
اگر TokenElevationType = Full به شکل غیرمنتظره‌ای دیده شود، ممکن است کاربر یا مهاجم توانسته UAC را بای‌پس کند یا از ابزارهای ارتقای دسترسی (مثل PsExec، Runas) استفاده کرده باشد.
بدافزارها برای انجام تغییرات سیستمی معمولاً به Full Token نیاز دارند. ثبت ناگهانی Full Token برای یک کاربر عادی می‌تواند نشانه اجرای Exploit باشد.
مقایسه ورود اولیه کاربر (با Limited Token) و تغییر بعدی به Full Token، مسیر و زمان ارتقا را روشن می‌کند.
در گزارش‌های ممیزی، بررسی درصد نشست‌های با Full Token نسبت به کل نشست‌ها نشان می‌دهد کاربران چقدر با حقوق ادمین کار می‌کنند (که ضعف امنیتی است).
#آکادمی_روزبه
مرکز تخصصی CISSP
🟣کاربرد مهم TokenElevationType در تحلیل لاگ و ممیزی
در مانیتورینگ لاگ یا Threat Hunting، این فیلد سرنخ‌ها و کاربردهای زیر دارد:
اگر TokenElevationType = Full به شکل غیرمنتظره‌ای دیده شود، ممکن است کاربر یا مهاجم توانسته UAC را بای‌پس کند یا از ابزارهای ارتقای دسترسی (مثل PsExec، Runas) استفاده کرده باشد.
بدافزارها برای انجام تغییرات سیستمی معمولاً به Full Token نیاز دارند. ثبت ناگهانی Full Token برای یک کاربر عادی می‌تواند نشانه اجرای Exploit باشد.
مقایسه ورود اولیه کاربر (با Limited Token) و تغییر بعدی به Full Token، مسیر و زمان ارتقا را روشن می‌کند.
در گزارش‌های ممیزی، بررسی درصد نشست‌های با Full Token نسبت به کل نشست‌ها نشان می‌دهد کاربران چقدر با حقوق ادمین کار می‌کنند (که ضعف امنیتی است).
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment