שאילתות XML
יומן האירועים - Event Viewer
Subject Logon ID שהוא מזהה הסשן. אצל System הוא קבוע, 0x3E7. אצל משתמש רגיל כל כניסה מחדש, אחרי logoff או restart, נותנת מספר סשן חדש.1074 מחשב עשה restart או כיבוי.6005 שירות ה-EventLog התחיל, כלומר מישהו אולי עצר ואז הפעיל את מערכת התיעוד.7040 שינוי בסוג ההפעלה של שירות (Startup type).4624 לוגין מוצלח, ו-4625 לוגין כושל.4648 הפעלת תוכנה עם שם וסיסמה מפורשים של משתמש אחר (Run as different user), שאפשר לנצל כדי לנחש סיסמה. Windows חוסם משתמש אחרי כמה ניסיונות כושלים.7045 הותקן שירות חדש.פרקי ההרצאה: שאילתות XML יומן האירועים - Event Viewer
תמלול ההרצאה: שאילתות XML יומן האירועים - Event Viewer
הטקסט המלא של הדקות הראשונות בהרצאה «שאילתות XML יומן האירועים - Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם אנחנו מגיעים לשאילתות משלנו ב-XML לתוך Event Viewer לתוך יומן האירועים זאת אומרת אנחנו נעשה שאילתות כדי להוציא משם את המידע שאנחנו רוצים כאשר הממשק הגרפי הוא לא מספיק לנו הוא כללי מדי אז בוא נראה קודם כל את השאילתה כמו שהם מראים אותה שאילתה על סינון ידני של איזשהו לוגין של יוזר איזשהו
סיישן איך עושים את זה? אנחנו נכנסים לווינדוס, לוחצים כפתור ימני, Event Viewer, יומן האירועים, בוחרים איזשהו יומן, נניח Security, יש בפנים 23,895 אירועים שונים שקרו, אנחנו לא רוצים לעבור על 23,000 שורות, אתם רואים כל שורה למטה יש לנו פירוט מה קרה, לדוגמה יוזר עשה לוגון, אירוע מספר 4624. נניח אני רוצה לסנן את כל
האירועים של לוגין, לראות כל מי שנכנס למחשב הזה לפי אירוע 4624 אני עושה רייט קליק בפילטר קרנט לוג לעשות פילטר על כל ה-23,000 שורות שיציג לי רק שורות שבהם מספר האירוע 4624 אני יכול לעשות גם פסיק ולהגיד לו עוד איזשהו אירוע שאני רוצה אני יכול גם לסנן לפי איזשהו מקור נניח איזושהי תוכנה שיצרה את האירוע כרגע אני לא מגביל
לפי תוכנה אני אומר כל האירועים מספר 4624, אני יכול גם להגביל לפי יוזר מסוים, לפי קומפיוטר, לפי איזושהי מילת מפתח ולפי איזשהו זמן, נניח בשעה האחרונה או בחודש האחרון או לעשות custom range, טווח משלי, אז נניח אני רוצה לדעת מי ב-12 שעות אחרונות נכנס למחשב הזה, אז אני עושה פה מסננת והנה הוא מציג לי רק אירועים 4624 ורק 56 אירועים כאלו ואני יכול להתחיל לחקור,
המסננת הזאת לא מספיק טובה לי אני צריך משהו יותר מוחקב אני יכול בתוך הפילטר הזה לעבור לxml xml נותן לי הרבה יותר גמישות כי אני כותב פקודות בעצמי בשפה המיוחדת שלו שנקראת xpath אתם רואים יש פה סטייל כזה סלקט וכותבים לדוגמה אירוע 4624 ובין איזה תאריך לאיזה תאריך וזה בדיוק מה שאנחנו הולכים לעשות אנחנו הולכים
לשים פה v הוא אומר לי שברגע שאני שם v אני עובר ל-manual edit the query, עריכה ידנית של שאילתא, ואז אי אפשר יהיה להשתמש בממשק הגרפי.
אני עושה לו yes. ברגע שיש לי פה v, אני יכול להתחיל להוסיף פה שורות משלי, תכף נעשה את זה, ולכתוב פה עוד איזה שהם סלקטים, כאשר אני לא יכול לחזור חזרה לממשק הגרפי, כי הוא אומר שאני בעריכה ידנית.
אם אני רוצה לבטל את העריכה הידנית שלי, אני צריך להוריד פה את ה-v הזה. ברגע שאני מוריד את ה-v, הוא מבטל את כל השינויים שלי וחוזר חזרה לעריכה ידנית.
נניח אני אעשה ככה, או נניח אירוע מספר 5. ברגע שאני עושה את זה, תראו, XML פה התעדכן, אירוע כזה או כזה. זאת אומרת שהממשק הגרפי כותב לי את השאילתה באופן אוטומט, אבל היכולות של הממשק הגרפי הן מוגבלות מאוד.
דברים מורכבים אני צריך לכתוב בעצמי, וזה בדיוק מה שהם רוצים שנדע לעשות. אז יש להם פה דוגמה של מעקב אחרי לוגון איי-די מסוים 03E7. הם מזהים פה לוגון, כאילו כניסה לווינדוס והמספר הזה זה מספר קבוע ליוזר של סיסטם, ליוזר של מערכת ההפעלה עצמה שהווינדוס עצמו משתמש ביוזר הפנימי שלו בשביל להפעיל סרוויסים או משימות מתוזמנות.
יש חשד שאחד הסרוויסים זה למעשה תוכנה זדונית, רוגלה ואנחנו רוצים לבדוק מה עשתה התוכנה הזאת. אז אנחנו מתחילים לעקוב אחרי יוזר של סיסטם.
מאיפה מגלים את היוזר הזה של סיסטם? בפרטים הנוספים באירוע. תסתכלו שנייה, בתוך כל אירוע יש בפנים, חוץ משדות האלו, בדיטיילס, שדות נוספים שהממשק הגרפי בג'נרל לא מראה אותם.
בג'נרל כאן יש מספר מוגבל של שדות שהם החשובים ביותר. כאן יש יותר פירוט, יש פה ממש פירוט יפה, כולל לוגו ניידי דרך אגב.
הנה אתם רואים, יוזר סיסטם עשה לוגון וקיבל מזהה סידורי של הלוגין שלו, כאילו סשן שנפתח, תיאורטית אם זה היה יוסי, יוני או מישהו אחר, כל פעם הלוגון היה משתנה, רק בסיסטם הוא קבוע והוא תמיד המספר הזה, זה כאילו מספר אירוע כניסה למחשב, מספר סשן.
עד שאני לא עושה ריסטארט או לוג אוף, המספר הזה נשאר, נניח שזה היה יוני, שזה אני, הייתי נכנס פעם אחת, כל האירועים שהייתי עושה, כל הדברים שהיו קורים היו תחת הלוגון ID שלי, ואם הייתי עושה לוגוף או ריסטארט למחשב ונכנס מחדש,
הייתי מקבל מספר לוגון ID חדש. אבל ביוזר של סיסטם הוא קבוע תמיד, ואפשר לראות את כל השדות האלו גם בדיטלס, שזו תצוגה שונה של אותם השדות. זה המידע המלא, אפשר לראות בצורה כזאת או בצורת XML, וזה המידע המלא שיש לנו על האירוע.
דרך אגב, מי כתב את האירוע הזה? או תוכנה שמישהו בנה, כי כל אחד יכול לרשום אירועים ולהעלות אירועים מתוך התוכנה שלו, או הווינדוס עצמו, המתכנתים של מייקרוסופט העלו אירוע כשקורה משהו.
ואפשר לראות פה כל השדות שהם העבירו למערכת לתיעוד, ואחד השדות זה Subject Logon ID. זה מספר השיחה הנוכחית וזה היוזר שעשה את זה. ומה שהם רוצים פה שנסתכל על הדבר הזה ונמשיך לחקור אותו.
חוקרים את כל מה שהיוזר עשה ועולים על האירוע 4907. אירוע 4907 זה שינוי בהרשאות תיעוד. מישהו כאן לא רצה שהמערכת תתעד את מה שהוא עושה.
בואו ניקח נניח את הקובץ הזה שיש לי בדסקטופ, שזה יומן אירועים ששמרנו בצד. אם אני לוקח כל אובייקט, זה יכול להיות רג'יסטרי, זה יכול להיות קובץ, יש לו סקיוריטי.
ב-Security יש הרשאות למי מותר לגשת לאובייקט הזה, במקרה הזה לקובץ הזה. הנה שם של האובייקט. כתוב פה ל-user system, שזה הווינדוס עצמו, מערכת ההפעלה שלו.
אם היוזר הזה ווינדוס, מפעיל את התוכנות שרצות ברקע, את הסרוויסים. ל-user admin ולכל מי שמוגדר בקבוצת אדמיניסטרטורס. אתם רואים, זה קבוצה, אדמיניסטרטורס.
זה כל מי שרשאי לגשת לקובץ הזה. אבל חוץ מההרשאות האלו, באדוונס יש לנו לא רק פרמישינים לגישה אלא גם אודיט אודיט זה לתעד מה רוצים לתעד על הקובץ הזה איזה תיעוד לבצע ואפשר להגיד שאני רוצה לעשות תיעוד רק על יוזר מסוים אדמין אם הוא מצליח לעשות read או write אני יכול גם לעשות חוץ מתיעוד במקרה של הצלחה שיוזר אדמין ניגש לקובץ הזה וקרא אותו וזה יתועד ביומן האירועים זאת
אומרת כאן ביומן האירועים הזה יתועד המקרה שuser admin קרא את הקובץ הזה. אני יכול לעשות גם שאברי וואן כל מי שניגש לקובץ הזה אברי וואן במקרה של כישלון שהוא לא מצליח לקרוא את הקובץ אני רוצה לדעת מי ניסה ולא הצליח אני רוצה לדעת מי מנסה בכלל לקרוא את הקובץ הזה שאסור לו לקרוא נניח שבקובץ הזה יש איזה שהם סיסמאות ונתתי לקבוצה קטנה
של אנשים לקרוא את הקובץ אני רוצה לתעד כל מי שמנסה ולא מצליח. אני עושה אוקיי ואני רואה פה תיעוד של כל הכישלונות של קריאת הקובץ. זאת מערכת תיעוד שהולכת במקביל למערכת ההרשאות למי מה מותר.
אז המערכת התיעוד הזאת אפשר לשנות פה את השורות האלו כמו שעשינו כרגע. ברגע שאנחנו משנים את השורות כאן האירוע מתועד אם נבוא ליומן האירועים נעשה clear לפילטר אתם רואים אירוע 4907 האירוע 4907 שאומר audit policy change השתנתה מדיניות של תיעוד audit זה תיעוד אם נעשה דאבל קליק על השורה
הזאת אנחנו נראה שהתיעוד השתנה אפשר לראות מי שינה אותו יוזר בשם אדמין כאשר הסשן שלו הלוגין שלו היה 3139F אם אני אעשה ריסטארט הלוגין הזה ישתנה זה אומר מספר השיחה הנוכחי שלי מול המחשב עד שאני לא אעשה פה רייט קליק שאט דאון סיין אאוט לצאת מהיוזר שלי או ריסטארט או כיבוי הסשן הזה יישאר, זה מספר הסשן שלי כרגע, 3139F.
בקיצור, יוזר אדמין על התחנה הזאת בסשן כזה וכזה, מה הוא עשה? הוא לקח את הקובץ הזה בדסקטופ ושינה לו את התיעוד. ופה אפשר לראות את ה-New Security Description, את ההגדרות התיעוד החדשות שעשיתי.
יש תקן איך כותבים את כל ההגדרות האלו, אתם יכולים לראות פה, זה האדמין הזה שאמרתי שיהיו לו הרשאות כאלו וכאלו, מה לתעד.
אוקיי, אז ראינו את האירוע 4907 ופה זה בדיוק מה שמדברים על זה שאירוע 4907 מאוד מחשיד כי למה שיוזר רגיל או תוכנה רגילה תתחיל לשנות את המערכת של תיעוד מי עשה מה כנראה שזה איזשהו מיילוויר איזושהי רוגלה שרוצה להסתיר את המעשים שלה ואפשר כאן לראות גם על איזה קובץ