Dieses Dokuwiki verwendet ein von Anymorphic Webdesign erstelltes Thema.

Razlike

Slijede razlike između dviju inačica stranice.

Poveznica na ovu usporedbu

Starije izmjene na obje strane Starija izmjena
Novija izmjena 		Starija izmjena
racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/02 14:56]
Sokol Nina [Mogućnosti Sysmon logova] 		racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/18 19:25] (trenutno)
Sokol Nina [Analiza Sysmon logova pomoću PowerShella]
Redak 1: Redak 1:
 ===== Analiza Sysmon logova ===== ===== Analiza Sysmon logova =====
 +
 +[[https://ferhr-my.sharepoint.com/:v:/g/personal/ns53178_fer_hr/Ee0YxhF5lvpGrX8IHJnk7B0BTZNjymgwzbOV-4-BvwGh7w?nav=eyJyZWZlcnJhbEluZm8iOnsicmVmZXJyYWxBcHAiOiJPbmVEcml2ZUZvckJ1c2luZXNzIiwicmVmZXJyYWxBcHBQbGF0Zm9ybSI6IldlYiIsInJlZmVycmFsTW9kZSI6InZpZXciLCJyZWZlcnJhbFZpZXciOiJNeUZpbGVzTGlua0NvcHkifX0&e=bEFahU| Video prezentacija]]
  
 ===== Sažetak ===== ===== Sažetak =====
Redak 30: Redak 32:
 Primarno je namijenjen organizacijama kao jedno od rješenja za praćenje događaja u sustavu te timovima koji se bave detekcijom i obranom od kibernetičkih napada jer omogućava da analizom Sysmon logova oni otkriju koji od se događaja koje je Sysmon zabilježio odnose na napadača te kako su oni međusobno povezani. Ni na koji način se ne prikriva od napadača [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[3]]]. Primarno je namijenjen organizacijama kao jedno od rješenja za praćenje događaja u sustavu te timovima koji se bave detekcijom i obranom od kibernetičkih napada jer omogućava da analizom Sysmon logova oni otkriju koji od se događaja koje je Sysmon zabilježio odnose na napadača te kako su oni međusobno povezani. Ni na koji način se ne prikriva od napadača [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[3]]].
  
-Događaji koje je Sysmon zabilježio se pohranjuju na lokaciji \\ ''Applications and Services Logs/Microsoft/Windows/Sysmon/Operational'' \\ u evtx formatu.+Događaji koje je Sysmon zabilježio se pohranjuju na lokaciji \\ ''Applications and Services Logs/Microsoft/Windows/Sysmon/Operational''.
  
 ===== Mogućnosti Sysmon logova ===== ===== Mogućnosti Sysmon logova =====
Redak 103: Redak 105:
 ===== Instalacija i konfiguracija ===== ===== Instalacija i konfiguracija =====
  
-Sysmon nije uključen po zadanim postavkama već ga je potrebno instalirati. Upute za instalaciju se nalaze na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[9]]]. Potrebno je definirati konfiguracijsku datoteku. Budući da defaultna konfiguracijska datoteka uključuje samo mali opseg pravila, Florian Roth je napravio bolju verziju konfiguracijske datoteke koju se preporučuje koristiti, a dostupna je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[10]]]. Konfiguracijska datoteka je bitna jer nam omogućava da definiramo koji događaji će se bilježiti, a koji ne kako bi smanjili broj zabilježenih logova što nam kasnije olakšava analizu Sysmon logova. Uglavnom se u konfiguracijskom datotekama isključuje bilježenje određenih događaja koji se smatraju normalnim ponašanjem [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[11]]]. +Sysmon nije uključen po zadanim postavkama već ga je potrebno instalirati. Upute za instalaciju se nalaze na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[10]]]. Potrebno je definirati konfiguracijsku datoteku. Budući da defaultna konfiguracijska datoteka uključuje samo mali opseg pravila, Florian Roth je napravio bolju verziju konfiguracijske datoteke koju se preporučuje koristiti, a dostupna je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[11]]]. Konfiguracijska datoteka je bitna jer nam omogućava da definiramo koji događaji će se bilježiti, a koji ne kako bi smanjili broj zabilježenih logova što nam kasnije olakšava analizu Sysmon logova. Uglavnom se u konfiguracijskom datotekama isključuje bilježenje određenih događaja koji se smatraju normalnim ponašanjem [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[12]]]. 
  
-Primjer jedne jednostavne konfiguracijske datoteke dan je u nastavku. Ova datoteka prikuplja sve hasheve, upravljačke programe koji ne pripadaju Windowsu ili Microsoftu i mrežne konekcije koje se spajaju na portove 443 ili 80, a ne dolaze od Internet Explorera. Ne bilježi završetke procesa. Više o konfiguracijskim datotekama i načinima na koje se pišu pravila može se pronaći na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[12]]].+Primjer jedne jednostavne konfiguracijske datoteke dan je u nastavku. Ova datoteka prikuplja sve hasheve, upravljačke programe koji ne pripadaju Windowsu ili Microsoftu i mrežne konekcije koje se spajaju na portove 443 ili 80, a ne dolaze od Internet Explorera. Ne bilježi završetke procesa. Više o konfiguracijskim datotekama i načinima na koje se pišu pravila može se pronaći na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[13]]].
  
 <code> <code>
Redak 135: Redak 137:
 </code> </code>
  
-Primjer 3. Jednostavna konfiguracijska datoteka+Primjer 3. Jednostavna konfiguracijska datoteka [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[13]]]
  
 ===== Sysmon event logovi ===== ===== Sysmon event logovi =====
Redak 143: Redak 145:
 {{:racfor_wiki:seminari2024:sysmon-graph.png?600|Pregled različitih informacija koje prikupljaju Sysmon logovi}} {{:racfor_wiki:seminari2024:sysmon-graph.png?600|Pregled različitih informacija koje prikupljaju Sysmon logovi}}
  
-Slika 1. Pregled različitih informacija koje prikupljaju Sysmon logovi [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[13]]]+Slika 1. Pregled različitih informacija koje prikupljaju Sysmon logovi [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[14]]]
 ==== Pregled event ID-ja ==== ==== Pregled event ID-ja ====
  
Redak 153: Redak 155:
 | 1        | Process creation              | Prikazuje detaljne informacije o novostvorenom procesu, uključujući naredbu iz komandne linije kojom je proces stvoren, informacije o roditeljskom procesu kako bi se mogla uspostaviti hijerarhija procesa te hash datoteke koja je pokrenuta kako bi se stvorio novi proces. | | 1        | Process creation              | Prikazuje detaljne informacije o novostvorenom procesu, uključujući naredbu iz komandne linije kojom je proces stvoren, informacije o roditeljskom procesu kako bi se mogla uspostaviti hijerarhija procesa te hash datoteke koja je pokrenuta kako bi se stvorio novi proces. |
 | 2        | A process changed a file creation time | Budući da napadači često mijenjaju vrijeme kreiranja zlonamjernog procesa kako bi prikrili njegovo djelovanje, bilježenje događaja u kojima proces mijenja vrijeme stvaranja neke datoteke pomaže računalnim forenzičarima pratiti stvarno vrijeme stvaranja datoteke. |  | 2        | A process changed a file creation time | Budući da napadači često mijenjaju vrijeme kreiranja zlonamjernog procesa kako bi prikrili njegovo djelovanje, bilježenje događaja u kojima proces mijenja vrijeme stvaranja neke datoteke pomaže računalnim forenzičarima pratiti stvarno vrijeme stvaranja datoteke. | 
-| 3        | Network connection    | Bilježi podatke o TCP/UDP konekcijama na računalu te ga je ovu opciju potrebno uključiti jer je po zadanim postavkama isključena.        |+| 3        | Network connection    | Bilježi podatke o TCP/UDP konekcijama na računalu te je ovu opciju potrebno uključiti jer je po zadanim postavkama isključena.        |
 | 4        | Sysmon service state changed    | Bilježi promjenu stanja Sysmon servisa (started/stopped).        | | 4        | Sysmon service state changed    | Bilježi promjenu stanja Sysmon servisa (started/stopped).        |
 | 5        | Process terminated    | Bilježi informacije o procesu koji je prekinut i vrijeme prekida.        | | 5        | Process terminated    | Bilježi informacije o procesu koji je prekinut i vrijeme prekida.        |
Redak 169: Redak 171:
 | 17        | PipeEvent (Pipe Created)    | Bilježi stvaranje imenovanih cjevovoda jer je to jedan od načina na koji malware komunicira s drugim procesima.        | | 17        | PipeEvent (Pipe Created)    | Bilježi stvaranje imenovanih cjevovoda jer je to jedan od načina na koji malware komunicira s drugim procesima.        |
 | 18        | PipeEvent (Pipe Connected)    | Bilježi povezivanje klijenta i servera putem imenovanog cjevovoda.        | | 18        | PipeEvent (Pipe Connected)    | Bilježi povezivanje klijenta i servera putem imenovanog cjevovoda.        |
-| 19        | WmiEvent (WmiEventFilter activity detected)    | Malware upotrebljava WMI event filter za izvršavanje pa se i ovakvi događaji bilježe.        |+| 19        | WmiEvent (WmiEventFilter activity detected)    | Malware može upotrebljavati WMI event filter za izvršavanje pa se i ovakvi događaji bilježe.        |
 | 20        | WmiEvent (WmiEventConsumer activity detected)    | Bilježi registraciju WMI Consumera.        | | 20        | WmiEvent (WmiEventConsumer activity detected)    | Bilježi registraciju WMI Consumera.        |
 | 21        | WmiEvent (WmiEventConsumerToFilter activity detected)    | Bilježi spajanje WMI Consumera na filtar.        | | 21        | WmiEvent (WmiEventConsumerToFilter activity detected)    | Bilježi spajanje WMI Consumera na filtar.        |
 | 22        | DNSEvent (DNS query)    | Bilježi sve DNS upite koje naprave procesi.        | | 22        | DNSEvent (DNS query)    | Bilježi sve DNS upite koje naprave procesi.        |
-| 23        | FileDelete (File Delete archived)    | Bilježi da je neka datoteka obrisana i dodatnu ju sprema u ArchiveDirectory.        |+| 23        | FileDelete (File Delete archived)    | Bilježi da je neka datoteka obrisana i dodatno ju sprema u ArchiveDirectory.        |
 | 24        | ClipboardChange (New content in the clipboard)    | Prikazuje promjene u sustavskom međuspremniku.       | | 24        | ClipboardChange (New content in the clipboard)    | Prikazuje promjene u sustavskom međuspremniku.       |
 | 25        | ProcessTampering (Process image change)    | Prikuplja informacije o procesima u kojem su detektirane „hollow“ i „herpaderp“ tehnike prikrivanja.        | | 25        | ProcessTampering (Process image change)    | Prikuplja informacije o procesima u kojem su detektirane „hollow“ i „herpaderp“ tehnike prikrivanja.        |
Redak 183: Redak 185:
 ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ==== ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ====
  
-Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, ovisno o tome koje informacije su bitne za ono što log prikuplja. Detaljan pregled polja koja se bilježe za pojedini event ID dostupan je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[13]]]. U nastavku je dan primjer polja koje prikuplja System log s Event ID-jem 2 koji bilježi informacije o promjeni vremena stvaranja datoteke koju je napravio neki proces:+Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, ovisno o tome koje informacije su bitne za ono što log prikuplja. Detaljan pregled polja koja se bilježe za pojedini event ID dostupan je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[14]]]. U nastavku je dan primjer polja koje prikuplja Sysmon log s Event ID-jem 2 koji bilježi informacije o promjeni vremena stvaranja datoteke koju je napravio neki proces:
  
   * **UtcTime** – vrijeme kreiranja događaja u UTC formatu   * **UtcTime** – vrijeme kreiranja događaja u UTC formatu
Redak 202: Redak 204:
 Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella. Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella.
  
-==== Analiza Sysmon logova pomoću SIEM sustava ====+==== Analiza Sysmon logova s pomoću SIEM sustava ====
  
-Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[14]]]. Prednosti Splunka su što nudi velik broj mogućnosti kada je u pitanju analiza logova te može istovremeno raditi analizu više vrsta logova koji su proslijeđeni Splunk serveru. Nedostatak je to što je to komercijalni alat te zahtijeva određenu infrastrukturu i podešavanja prije nego je moguća analiza Sysmon logova. Slika 2 prikazuje kako izgleda Splunk konzola za analizu logova. Najprije je potrebno upisati Splunk Query prema kojem će se logovi filtrirati kako bismo izdvojili samo one logove koje želimo analizirati. Nakon toga je potrebno odabrati vremenski raspon u kojem želimo primijeniti upit. Splunk će nam nakon toga izlistati Sysmon logove koji odgovaraju zadanom upitu nakon čega možemo pregledavati polja unutar tih upita kako bi saznali korisne informacije te napisali nove upite koji ih koriste ili prilagodili trenutačni upit kako bi smanjili broj logova koje promatramo. +Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[15]]]. Prednosti Splunka su što nudi velik broj mogućnosti kada je u pitanju analiza logova te može istovremeno raditi analizu više vrsta logova koji su proslijeđeni Splunk serveru. Nedostatak je to što je to komercijalni alat te zahtijeva određenu infrastrukturu i podešavanja prije nego je moguća analiza Sysmon logova. Slika 2 prikazuje kako izgleda Splunk konzola za analizu logova. Najprije je potrebno upisati Splunk Query prema kojem će se logovi filtrirati kako bismo izdvojili samo one logove koje želimo analizirati. Nakon toga je potrebno odabrati vremenski raspon u kojem želimo primijeniti upit. Splunk će nam nakon toga izlistati Sysmon logove koji odgovaraju zadanom upitu nakon čega možemo pregledavati polja unutar tih upita kako bi saznali korisne informacije te napisali nove upite koji ih koriste ili prilagodili trenutačni upit kako bi smanjili broj logova koje promatramo. 
  
  
 {{ :racfor_wiki:seminari2024:image-29.png?direct&600 |Primjer korištenja Splunka za analizu Sysmon logova }} {{ :racfor_wiki:seminari2024:image-29.png?direct&600 |Primjer korištenja Splunka za analizu Sysmon logova }}
  
-Slika 2. Primjer korištenja Splunka za analizu Sysmon logova [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[15]]]+Slika 2. Primjer korištenja Splunka za analizu Sysmon logova [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[16]]]
  
  
-Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon logove te event ID koji promatramo. Budući da ''NT AUTHORITY\\SYSTEM'' stvara veliki broj procesa, logovi koji se odnose na njega neće biti prikazani.+Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon logovi te event ID koji promatramo. Budući da ''NT AUTHORITY\\SYSTEM'' stvara veliki broj procesa, logovi koji se odnose na njega neće biti prikazani.
  
 <code> <code>
Redak 220: Redak 222:
 </code> </code>
  
-==== Analiza Sysmon logova pomoću Event Viewera ====+==== Analiza Sysmon logova s pomoću Event Viewera ====
  
-Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. +Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona, logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. 
 Slika 3 prikazuje kako izgledaju zabilježeni logovi u Event Vieweru. Budući da je obično zabilježena velika količina logova, potrebno ih je filtrirati ovisno o event ID-ju ili ključnim riječima kako bismo izdvojili samo logove koji su nam zanimljivi te iz kojih želimo izvući informacije potrebne za daljnju analizu. Slika 3 prikazuje kako izgledaju zabilježeni logovi u Event Vieweru. Budući da je obično zabilježena velika količina logova, potrebno ih je filtrirati ovisno o event ID-ju ili ključnim riječima kako bismo izdvojili samo logove koji su nam zanimljivi te iz kojih želimo izvući informacije potrebne za daljnju analizu.
 Možemo primijetiti da je ručna analiza logova s pomoću Event Viewera nešto zahtjevnija nego analiza upotrebom Splunka. Puno je jednostavnije pisati upite kojima filtriramo logove nego koristiti prozor za filtriranje koji nudi Event Viewer (Slika 4) te nam Splunk daje puno pregledniji pogled na filtrirane logove. Možemo primijetiti da je ručna analiza logova s pomoću Event Viewera nešto zahtjevnija nego analiza upotrebom Splunka. Puno je jednostavnije pisati upite kojima filtriramo logove nego koristiti prozor za filtriranje koji nudi Event Viewer (Slika 4) te nam Splunk daje puno pregledniji pogled na filtrirane logove.
Redak 228: Redak 230:
 {{ :racfor_wiki:seminari2024:event_viewer1.png?direct&600 | Sysmon logovi u Event Vieweru}} {{ :racfor_wiki:seminari2024:event_viewer1.png?direct&600 | Sysmon logovi u Event Vieweru}}
  
-Slika 3. Sysmon logovi u Event Vieweru [[racfor_wiki:seminari2024:analiza_sysmon_logova# Literatura|[11]]]+Slika 3. Sysmon logovi u Event Vieweru [[racfor_wiki:seminari2024:analiza_sysmon_logova# Literatura|[12]]]
  
 {{ :racfor_wiki:seminari2024:event_viewer2.png?direct&600 | Prozor za filtriranje logova u Event Vieweru}} {{ :racfor_wiki:seminari2024:event_viewer2.png?direct&600 | Prozor za filtriranje logova u Event Vieweru}}
  
-Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki:seminari2024:analiza_sysmon_logova# Literatura|[11]]] +Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki:seminari2024:analiza_sysmon_logova# Literatura|[12]]] 
-==== Analiza Sysmon logova pomoću PowerShella ====+==== Analiza Sysmon logova s pomoću PowerShella ====
  
 Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti.  Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti. 
  
-Kako bi došli do Sysmon logova potrebno je koristiti Get-WinEvent cmdlet unutar PopwerShella te dodatno filtrirati dohvaćene logove. Primjerice, ako želimo izdvojiti Sysmon logove koji se odnose na kreiranje novih procesa (Event ID 1) i kreiranje novih datoteka (Event ID 11) moguće je napisati sljedeću naredbu u PowerShellu:+Kako bi došli do Sysmon logova potrebno je koristiti Get-WinEvent cmdlet unutar PowerShella te dodatno filtrirati dohvaćene logove. Primjerice, ako želimo izdvojiti Sysmon logove koji se odnose na kreiranje novih procesa (Event ID 1) i kreiranje novih datoteka (Event ID 11) moguće je napisati sljedeću naredbu u PowerShellu:
  
 <code> <code>
Redak 243: Redak 245:
 </code> </code>
  
-Svi izdvojeni logovi se nalaze u varijabli eventu odakle se mogu dodatno parsirati i pretraživati kako bi se uočile zlonamjerne aktivnosti u sustavu. Više o tome kako se logovi mogu dalje parsirati te čak i grafički prikazati dostupno je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[8]]].+Svi izdvojeni logovi se nalaze u varijabli events odakle se mogu dodatno parsirati i pretraživati kako bi se uočile zlonamjerne aktivnosti u sustavu. Više o tome kako se logovi mogu dalje parsirati te čak i grafički prikazati dostupno je na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[17]]].
  
 ===== Primjer analize Sysmon logova ===== ===== Primjer analize Sysmon logova =====
  
  
-Za kraj prikazat ćemo primjer jednog scenarija u kojem se analizom Sysmon logova želi otkriti koja datoteka je omogućila napadaču pristup sustavu. Predstavljeni primjer je dio Blue Team Labs izazova čije detaljno rješavanje je opisano na [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[16]]].+Za kraj prikazat ćemo primjer jednog scenarija u kojem se analizom Sysmon logova želi otkriti koja datoteka je omogućila napadaču pristup sustavu. Predstavljeni primjer je dio Blue Team Labs izazova čije detaljno rješavanje je opisano u [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[18]]].
  
 Sumnjamo da je napadač preuzeo zlonamjernu datoteku koristeći PowerShell cmdlet pa analizu Sysmon logova započinjemo pretraživanjem ključne riječi PowerShell. Pretragu možemo napraviti unutar PowerShella ili Event Viewera. Primjećujemo da je zabilježeno nekoliko logova u kojima su izvršene sumnjive PowerShell naredbe među kojima je i naredba koja koristi Invoke-Webrequest cmdlet kojim se preuzima datoteka supply.exe s IP adrese 192.168.1.11. Budući da smo zabilježili sumnjivu IP adresu, dalje pretragu nastavljamo tražeći log koji je prvi zabilježio ovu sumnjivu IP adresu kako bismo saznali kada napadač počinje komunicirati sa sustavom. Sumnjamo da je napadač preuzeo zlonamjernu datoteku koristeći PowerShell cmdlet pa analizu Sysmon logova započinjemo pretraživanjem ključne riječi PowerShell. Pretragu možemo napraviti unutar PowerShella ili Event Viewera. Primjećujemo da je zabilježeno nekoliko logova u kojima su izvršene sumnjive PowerShell naredbe među kojima je i naredba koja koristi Invoke-Webrequest cmdlet kojim se preuzima datoteka supply.exe s IP adrese 192.168.1.11. Budući da smo zabilježili sumnjivu IP adresu, dalje pretragu nastavljamo tražeći log koji je prvi zabilježio ovu sumnjivu IP adresu kako bismo saznali kada napadač počinje komunicirati sa sustavom.
Redak 283: Redak 285:
 </code> </code>
  
-Primjer 4. Sysmon log koji je zabilježio prvu komunikaciju sa sumnjive IP adrese [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[16]]]+Primjer 4. Sysmon log koji je zabilježio prvu komunikaciju sa sumnjive IP adrese [[racfor_wiki:seminari2024:analiza_sysmon_logova#Literatura|[18]]]
  
 Ovdje je prikazan samo mali dio analize logova, kako bi se saznalo više informacija o napadaču i do kojih dijelova sustava je uspio doći potrebno je nastaviti analizu logova na gore opisan način. Ovdje je prikazan samo mali dio analize logova, kako bi se saznalo više informacija o napadaču i do kojih dijelova sustava je uspio doći potrebno je nastaviti analizu logova na gore opisan način.
Redak 313: Redak 315:
 [7] [[https://sematext.com/logsene|sematext, "Cloud log management," Sematext Group, 2024. , pristupljeno 27.12.2024.]] [7] [[https://sematext.com/logsene|sematext, "Cloud log management," Sematext Group, 2024. , pristupljeno 27.12.2024.]]
  
-[8] [[https://www.varonis.com/blog/sysmon-threat-detection-guide|M. Buckbee, "Sysmon Threat Analysis Guide," Varonis, 17.8.2022., pristupljeno 27.12.2024.]]+[8] [[https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4688|Ultimate IT Security, "Windows Security Log Event ID 4688", pristupljeno 2.1.2025.]] 
 + 
 +[9] [[https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=90001|Ultimate IT Security, "Sysmon Event ID 1", pristupljeno 2.1.2025.]]
  
-[9] [[https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#usage|M. Russinovich i T. Garnier, "Sysmon - Usage," Microsoft, 23.7.2024., pristupljeno 27.12.2024.]]+[10] [[https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#usage|M. Russinovich i T. Garnier, "Sysmon - Usage," Microsoft, 23.7.2024., pristupljeno 27.12.2024.]]
  
-[10] [[https://github.com/SwiftOnSecurity/sysmon-config|F. Roth, "sysmon-config - A Sysmon configuration file for everybody to fork," SwiftOnSecurity, 2021., pristupljeno 27.12.2024.]]+[11] [[https://github.com/SwiftOnSecurity/sysmon-config|F. Roth, "sysmon-config - A Sysmon configuration file for everybody to fork," SwiftOnSecurity, 2021., pristupljeno 27.12.2024.]]
  
-[11] [[https://tryhackme.com/r/room/sysmon|TryHackMe, "Sysmon," TryHackMe, 20.1.2021., pristupljeno 27.12.2024.]]+[12] [[https://tryhackme.com/r/room/sysmon|TryHackMe, "Sysmon," TryHackMe, 20.1.2021., pristupljeno 27.12.2024.]]
  
-[12] [[https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#configuration-files|M. Russinovich i T. Garnier, "Sysmon - Configuration files," Microsoft, 23.7.2024., pristupljeno 27.12.2024.]]+[13] [[https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#configuration-files|M. Russinovich i T. Garnier, "Sysmon - Configuration files," Microsoft, 23.7.2024., pristupljeno 27.12.2024.]]
  
-[13] [[https://github.com/olafhartong/sysmon-cheatsheet|MO. Hartong, "sysmon-cheatsheet," 2021., pristupljeno 28.12.2024.]]+[14] [[https://github.com/olafhartong/sysmon-cheatsheet|MO. Hartong, "sysmon-cheatsheet," 2021., pristupljeno 28.12.2024.]]
  
-[14] [[https://www.splunk.com/en_us/products/enterprise-security.html|Splunk, "Splunk Enterprise Security," Splunk CISCO company, pristupljeno 28.12.2024.]]+[15] [[https://www.splunk.com/en_us/products/enterprise-security.html|Splunk, "Splunk Enterprise Security," Splunk CISCO company, pristupljeno 28.12.2024.]]
  
-[15] [[https://blog.zsec.uk/ltr-d101-splunk/|A.Gill, "Learning The [Defence] Ropes 101 - Splunk Setup & Config," ZeroSec, 23.11.2020., pristupljeno 28.12.2024.]]+[16] [[https://blog.zsec.uk/ltr-d101-splunk/|A.Gill, "Learning The [Defence] Ropes 101 - Splunk Setup & Config," ZeroSec, 23.11.2020., pristupljeno 28.12.2024.]]
  
-[16] [[https://mdockry.medium.com/btlo-log-analysis-sysmon-3e040566f198|M. Dockry, "BTLO-Log Analysis Sysmon," Medium, 12.7.2021., pristupljeno 28.12.2024.]]+[17] [[https://www.varonis.com/blog/sysmon-threat-detection-guide|M. Buckbee, "Sysmon Threat Analysis Guide," Varonis, 17.8.2022., pristupljeno 27.12.2024.]]
  
-[17] [[https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4688|Ultimate IT Security, "Windows Security Log Event ID 4688", pristupljeno 2.1.2025.]]+[18] [[https://mdockry.medium.com/btlo-log-analysis-sysmon-3e040566f198|M. Dockry, "BTLO-Log Analysis Sysmon," Medium, 12.7.2021., pristupljeno 28.12.2024.]]
  
-[18] [[https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=90001|Ultimate IT Security, "Sysmon Event ID 1", pristupljeno 2.1.2025.]] 
  
  
racfor_wiki/seminari2024/analiza_sysmon_logova.1735829791.txt.gz · Zadnja izmjena: 2025/01/02 14:56 od Sokol Nina
Dieses Dokuwiki verwendet ein von Anymorphic Webdesign erstelltes Thema.
CC Attribution-Share Alike 4.0 International
www.chimeric.de Valid CSS Driven by DokuWiki do yourself a favour and use a real browser - get firefox!! Recent changes RSS feed Valid XHTML 1.0