Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/02 16:00] Sokol Nina [Analiza Sysmon logova pomoću PowerShella] |
racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/18 19:25] (trenutno) Sokol Nina [Analiza Sysmon logova pomoću PowerShella] |
||
|---|---|---|---|
| Redak 1: | Redak 1: | ||
| ===== Analiza Sysmon logova ===== | ===== Analiza Sysmon logova ===== | ||
| + | |||
| + | [[https:// | ||
| ===== Sažetak ===== | ===== Sažetak ===== | ||
| Redak 183: | Redak 185: | ||
| ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ==== | ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ==== | ||
| - | Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, | + | Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, |
| * **UtcTime** – vrijeme kreiranja događaja u UTC formatu | * **UtcTime** – vrijeme kreiranja događaja u UTC formatu | ||
| Redak 202: | Redak 204: | ||
| Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella. | Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella. | ||
| - | ==== Analiza Sysmon logova pomoću SIEM sustava ==== | + | ==== Analiza Sysmon logova |
| Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki: | Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki: | ||
| Redak 212: | Redak 214: | ||
| - | Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon | + | Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon |
| < | < | ||
| Redak 220: | Redak 222: | ||
| </ | </ | ||
| - | ==== Analiza Sysmon logova pomoću Event Viewera ==== | + | ==== Analiza Sysmon logova |
| Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona, logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. | Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona, logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. | ||
| Redak 233: | Redak 235: | ||
| Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki: | Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki: | ||
| - | ==== Analiza Sysmon logova pomoću PowerShella ==== | + | ==== Analiza Sysmon logova |
| Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti. | Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti. | ||
| Redak 243: | Redak 245: | ||
| </ | </ | ||
| - | Svi izdvojeni logovi se nalaze u varijabli | + | Svi izdvojeni logovi se nalaze u varijabli |
| ===== Primjer analize Sysmon logova ===== | ===== Primjer analize Sysmon logova ===== | ||
| - | Za kraj prikazat ćemo primjer jednog scenarija u kojem se analizom Sysmon logova želi otkriti koja datoteka je omogućila napadaču pristup sustavu. Predstavljeni primjer je dio Blue Team Labs izazova čije detaljno rješavanje je opisano | + | Za kraj prikazat ćemo primjer jednog scenarija u kojem se analizom Sysmon logova želi otkriti koja datoteka je omogućila napadaču pristup sustavu. Predstavljeni primjer je dio Blue Team Labs izazova čije detaljno rješavanje je opisano |
| Sumnjamo da je napadač preuzeo zlonamjernu datoteku koristeći PowerShell cmdlet pa analizu Sysmon logova započinjemo pretraživanjem ključne riječi PowerShell. Pretragu možemo napraviti unutar PowerShella ili Event Viewera. Primjećujemo da je zabilježeno nekoliko logova u kojima su izvršene sumnjive PowerShell naredbe među kojima je i naredba koja koristi Invoke-Webrequest cmdlet kojim se preuzima datoteka supply.exe s IP adrese 192.168.1.11. Budući da smo zabilježili sumnjivu IP adresu, dalje pretragu nastavljamo tražeći log koji je prvi zabilježio ovu sumnjivu IP adresu kako bismo saznali kada napadač počinje komunicirati sa sustavom. | Sumnjamo da je napadač preuzeo zlonamjernu datoteku koristeći PowerShell cmdlet pa analizu Sysmon logova započinjemo pretraživanjem ključne riječi PowerShell. Pretragu možemo napraviti unutar PowerShella ili Event Viewera. Primjećujemo da je zabilježeno nekoliko logova u kojima su izvršene sumnjive PowerShell naredbe među kojima je i naredba koja koristi Invoke-Webrequest cmdlet kojim se preuzima datoteka supply.exe s IP adrese 192.168.1.11. Budući da smo zabilježili sumnjivu IP adresu, dalje pretragu nastavljamo tražeći log koji je prvi zabilježio ovu sumnjivu IP adresu kako bismo saznali kada napadač počinje komunicirati sa sustavom. | ||