פקודת Get-WinEvent
עם FilterXPath

תמלול ההרצאה: פקודת Get-WinEvent עם FilterXPath

הטקסט המלא של הדקות הראשונות בהרצאה «פקודת Get-WinEvent עם FilterXPath» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם. בהרצאה זו אנחנו נלמד איך אפשר לעשות פילטר מסוג XPath ולמצוא גישה ל-registry. כמובן שאנחנו נשתמש ביומן האירועים של Sysmon ונשלוף משמה רק את האירועים שקשורים ל-registry עצמו.

2. 00:18

   בואו נראה את הפילטר הזה בפעולה. אנחנו עושים Get-WindowsEvent, תשלוף את האירועים של Windows של יומן האירועים, שזה בעצם מתוך ה-Sysmon שפועל כרגע, ואנחנו אומרים לו תסנן לנו מתוך ה-Sysmon רק את האירועים שמתאימים לפילטר שכתוב בסגנון XPath.

3. 00:39

   ומה אנחנו מחפשים? אנחנו מחפשים שתהיה תוכנה Image בשם reg.exe. reg.exe זאת תוכנה שיודעת לגשת ל-registry ומובנית ב-Windows, וכאשר התוכנה הזאת הפעילה את הפקודה הבאה, reg.exe add תוסיף registry key וזה ה-registry key שאנחנו רוצים למצוא.

4. 01:01

   אז עוד פעם, אנחנו עוקבים אחרי תוכנת reg.exe שמוסיפה key מסוים. זה פילטר מאוד מאוד ספציפי כשאנחנו יודעים מה אנחנו מחפשים. זה יכול להיות מקרה מאוד מאוד שימושי לאחר תקיפה.

5. 01:14

   גילינו איך תוכנה זדונית עובדת ואיזה registry היא מוסיפה ולאן ואנחנו עכשיו רוצים לרוץ על כל המחשבים בארגון ולגלות מי עוד נגוע. ואנחנו מעבירים את הפלט, את כל האירועים ל-pipe שהוא מעביר את זה ל-Select Object, לפקודה שבוחרת לי עמודות מסוימות ואחרי זה ב-pipe לפקודת Format Table שמציגה לי את זה כטבלה ולא כשורות.

6. 01:40

   אם נעשה Enter נראה שיש לנו שני אירועים כאלו. אם אני רוצה יותר מידע על כל אחד אני יכול להגיד לו תציג לי את זה לא כ-Format Table, אלא כ-Format List ואז הוא יציג לי את זה