הסבר על sysmon
פרקי ההרצאה: הסבר על sysmon
תמלול ההרצאה: הסבר על sysmon
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על sysmon» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה זו נדבר על סיסמון ועל חטיפת DLL סיסמון זה כלי סופר חשוב שעוזר לנו לתעד אירועים סיסמון למעשה יושב בתוך הדרייברים זאת אומרת שהוא ממש מוטמע בתוך מערכת ההפעלה ומסוגל לנתח דברים מבפנים שאיבנט פיואר שיומן האירועים של הווינדוס לא מסוגל
למה? כי יומן האירועים של ווינדוס מבוסס על הודעות שהמתכנת בוחר לרשום זה רישום יזום בתוך יומן האירועים וכל מה שהמתכנת לא רצה לתעד לא יתועד ביומן האירועים זה לא יופיע שמה סיסמון הרבה יותר חכם כי הוא יושב בתוך שכבה של הדרייברים בתוך הליבה של הווינדוס ומתעד בעצמו אירועים שמתרחשים שמה בלי קשר
למה שהמתכנת של איזושהי אפליקציה בחר לתעד ה-Sysmon הוא גם Windows Service, גם יש לו תוכנה שרצה ברקע, יש לו גם דרייבר שעוזר לתפוס את האירועים מתוך הליבה, והוא בעצמו רושם את כל מה שהוא תיעד בתוך יומן האירועים של Windows, ואנחנו שולפים משם את התיעוד הזה.
זה כלי שמייקרוסופט קנו לפני 20 שנה מאיזשהו בחור, ואפשר לראות פה באתר של מייקרוסופט, שזה חלק מהחבילה שנקראת Sysinternals, אנחנו נראה עוד כמה כלים מתוך החבילה הזאת.
כרגע אנחנו מתמקדים בסיסמון גרסה 15, אפשר להוריד אותו, תכף נוריד אותו ונראה אותו, ומה שהוא יודע לעשות, הוא יודע לתעד את הפקודה שאיתה העריצו תהליך את התוכנה הנוכחית, לתעד את ההאשים שלה, ולא רק את ההאש שלה, גם את ההאש של הדיאללים שלה.
האש בתצורת SHA-1, MD-5, SHA-256, למעשה זה חתימות שמזהות חד משמעית את קובץ המורץ. זה מה שאנטיווירוס מוריד בזמן העדכונים. בואו נרשום בגוגל השקאלק אונליין.
יש אלגוריתמים שונים, תסתכלו כמה. זה ערבול חד-כיווני. נניח נבחר SHA-1 או MD-5, נרשום איזושהי סיסמה, זה יכול להיות גם קובץ שלם ומקבלים את הערבול הזה. מה הסיפור שלו? שאי אפשר לחזור חזרה מכאן לכאן.
אי אפשר לעשות לזה רוורס, זה ערבול חד-כיווני, זה אלגוריתם מתמטי ידוע, אם אני אוסיף איזושהי ספרה תסתכלו איך הוא השתנה, הוא ממש משתנה לחלוטין ואי אפשר לעלות על סיסמה המקורית.
אני יכול גם להכניס לפה קבצים שלימים והתשובה תמיד תהיה באורך קבוע. md5 הוא תמיד באורך כזה, SHA-1 הוא תמיד באורך כזה, SHA-256 הוא באורך יותר, בקיצור זה כמו מטחנת בשר חד-כיוונית, ועל ידי ההאש הזה אני יודע לזהות קובץ באופן חד ערכי, חד משמעי,
גם אם השם שלו משתנה, אני מזהה אותו לפי התוכן, כי אני מערבב חד כיוונית את התוכן שלו. ואני יכול להגיד לכלי של סיסמון לייצר לי כמה האשים, גם את זה, גם את זה, גם את זה, ואת כל ההאשים הוא מתעד בתוך יומן האירועים של הווינדוס, יש לו יומן משלו,
ואז אני רואה איזה תוכנה רצה, לא רק את השם שלה, גם את התוכן שלה ב-hash. זה מה שהוא יודע לעשות. והוא מתעד לא רק את התוכנה עצמה, אלא גם את כל ה-DLLים של אותה תוכנה.
-DLLים זה קוד נוסף שהתוכנה משתמשת בו, אבל הקוד הזה לא יושב בקובץ אקזה המקורי, אלא בקובץ נפרד, ואז אפשר להשתמש באותו קוד, באותו DLL, בכמה תוכנות שונות. זה חוסך לנו כתיבה של קוד. אני יכול להשתמש בקטעי קוד מוכנים, ולא כל פעם לכתוב הכל מההתחלה ולדחוס הכל בקובץ אקזה אחד.
אם אנחנו ניכנס לווינדוס, בתיקייה נניח של C-Windows System 32, אנחנו נראה שיש לנו פה DLL'ים. לדוגמה, Camera Capture UI DLL, Call Buttons DLL. זאת אומרת, כל תוכנה שתרצה להשתמש במצלמה לא תצטרך לכתוב את הקוד מההתחלה, אפשר להשתמש ב-DLL מוכן, בקוד מוכן.
ולמעשה קובץ אקזה יכול להטעין כמה DLL'ים תוך כדי העלייה שלו או אפילו באמצע העבודה שלו, לפי הצורך. אז זה מאוד מאוד נהוג להשתמש ב-DLLים, זה נקרא Dynamic Library, ספרייה דינמית, ובפנים כתוב קוד לביצוע.
אז סיסמון יודע להגיד לנו איזה DLLים תוכנה טוענת. הוא גם יודע להגיד לנו פניות לדיסק, לנטר, לעקוב אחרי פניות לדיסק, הוא יכול גם לנטר ולעקוב אחרי Network Connections, חיבורי רשת שהאפליקציה עושה, לעקוב אחרי שינויים בחותמת הזמן של הקובץ, מתי הוא נוצר, מתי הוא השתנה, הוא גם יודע לשמור את כל הנתונים שלו, את כל ההגדרות שלו
ב-registry של Windows, אפשר להגיד לו איזה אירועים אנחנו רוצים include or exclude, לכלול או להוציא אותם מחוץ לתיעוד, לעשות פילטר, זאת אומרת שיש אירועים שאנחנו לא רוצים לתיעד, ובגלל שהוא עולה מוקדם יחד עם כל הדרייברים, איך שהווינדוס נדלק, הוא יודע לעקוב אחרי
מיילווירים, אחרי תוכנות זדוניות. בואו נחזור לחומר לימוד שלנו, ונראה פה שהם מסבירים לנו שאיבנט ID 1 תיעוד של אירוע מספר 1 ביומן האירועים של הסיסמון.
זאת אומרת, אם סיסמון מתעד באיבנט Viewer ביומן האירועים אירוע מספר 1, הוא מתכוון להרצה חדשה של התוכנה, ל-Process Creation.
אם זה אירוע מספר 3 אצלו, זה משהו שקשור לרשת. אפשר לראות את זה פה למטה. בתוך האתר של מייקרוסופט כתוב שאיבנט איי-די אחד של סיס אינטרנלס, של סיסמון, זה Process Creation.
אירוע מספר 2 זה שינוי בחותמת הזמן של הקובץ. מישהו ניסה לשנות את התאריך שבו קובץ נוצר. אירוע מספר 3 זה Network Connections. ויש לו פה עשרות אירועים שהוא יודע לתעד, כמו תאנה של דרייבר, כמו תאנה של DLL. ושימו לב, הוא לא מתעד את ה-DLLים כברירת מחדל.
צריך לשים לו מינוס L כשמפעילים אותו, אופציה של מינוס L שיתחיל גם לעקוב אחרי הדבר הזה של DLLים שהתוכנה טוענת תוך כדי העבודה שלה.
אני לא אעבור פה על כל האירועים, יש פה כמה דברים מעניינים כמו אירוע מספר 10, שתוכנה אחת מתעסקת עם זיכרון של תוכנה אחרת, עם הפרוצס של תוכנה אחרת, כאילו היא עושה דיבאג, אירוע מספר 11 בתיעוד זה יצירה של קובץ, אירוע מספר 12 קשור לרג'יסטרי, ואנחנו יכולים לראות שהוא יודע לתעד לנו כמה פה, 29 אירועים שונים ולעקוב אחריהם.
יש לנו פה דוגמה לקובץ ההגדרות שאפשר לצרף לו. אין לי דוגמה להגיד לו שיחפש ויתעד אירועים של תקשורת מול פורט 443 ו-80. כאילו ממש להגיד לו איזה פילטרים.
לכלי הזה אין לו ממשק גרפי. הנה הם אומרים לנו פה להתקין את הכלי הזה, מינוס איי אינסטול, לקבל את הרישיון ולהגיד לו לתעד חתימות בשלושה פורמטים שונים, כולל DLL'ים שהתוכנה תטעין.
בואו נעתיק את הפקודה הזאת ונריץ אותה בתוך הווינדוס כמו שהם מבקשים. בואו נעשה את זה ביחד. אנחנו באים לתוך גוגל, כותבים סיסמון, מוודאים שאנחנו נכנסים לאתר של מייקרוסופט, מייקרוסופט.קום, מורידים את הסיסמון, שימו לב, יש גם סיסמון ללינוקס, זה לא רק לווינדוס.
ירד לנו הקובץ כאן נקודה זיפ נעשה לו אקסטרקט אול נעשה לו אנזיפ נחלץ את הכל עכשיו אנחנו בתיקיית דאונלורד סיסמון ויש לנו פה את הסיסמון שלנו נעשה פה רייט קליק אופן אין טרמינל נפתח לנו פאואר של ישר בתיקייה הנוכחית ואני מריץ את הפקודה סיסמון נקודה אקזה מינוס איי ואת כל מה שהם ביקשו והוא לא
רואה אותו כי זה פאואר של צריך לעשות נקודה סלאש כן אבל הוא אומר לי שאני צריך Run as Administrator כי תראו למעלה אני בלי הרשאות של אדמיניסטרטור ולכן אין לי אפשרות להפקיד דרייבר נסגור את זה נכתוב cmd Run as Administrator הוא שואל אותי האם אתה רוצה באמת לתת הרשאות של אדמיניסטרטור
לתוכנה אני אומר כן עכשיו אני בא מעתיק את הנתיב הזה עושה קופי חוזר חזרה לכאן עושה cd נכנס לתוך עושה דיר לראות שיש לנו סיסמון נקודה אקזה ומריץ את הפקודה.
נהדר סטארטינג סיסמון סיסמון סטארטד יופי הצלחנו להתקין גם את הדרייבר שלו וגם את הסרוויס שלו הכל עבר כמו שצריך ועכשיו אפשר להתאים קובץ הגדרות אם אנחנו רוצים איזה שהם הגדרות מיוחדות אפשר לעשות את זה.
לפני שנתקדם אני רוצה להראות לכם איפה הוא מתעד את כל האירועים בוא ניכנס לתוך המכונה שלנו. נעשה פה right click על התחל event viewer יומן האירועים של windows זה היומנים הישנים שכבר קיימים מעל 30 שנה ויש פה חלוקה ליומנים קצת יותר מסודרים שזה נראה לי הופיע בוויסטה או ווינדוס 7