Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/18 18:01] Sokol Nina [Analiza Sysmon logova] |
racfor_wiki:seminari2024:analiza_sysmon_logova [2025/01/18 19:25] (trenutno) Sokol Nina [Analiza Sysmon logova pomoću PowerShella] |
||
|---|---|---|---|
| Redak 185: | Redak 185: | ||
| ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ==== | ==== Primjer polja koje bilježi Sysmon log s event ID-jem 2 ==== | ||
| - | Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, | + | Svaki Sysmon event log prikazuje različita polja s prikupljenim informacijama, |
| * **UtcTime** – vrijeme kreiranja događaja u UTC formatu | * **UtcTime** – vrijeme kreiranja događaja u UTC formatu | ||
| Redak 204: | Redak 204: | ||
| Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella. | Najčešće se koristi u kombinaciji sa SIEM sustavom poput Splunka, ali je analiza moguća i s pomoću drugih alata poput Windows Event Viewera te PowerShella. U nastavku će biti prikazano kako se Sysmon logovi mogu analizirati s pomoću SIEM sustava, Windows Event Viewera te PowerShella. | ||
| - | ==== Analiza Sysmon logova pomoću SIEM sustava ==== | + | ==== Analiza Sysmon logova |
| Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki: | Nakon što Sysmon prikupi logove moguće ih je proslijediti SIEM sustavu poput Splunka gdje se onda prikupljeni logovi analiziraju unutar Splunk konzole. Bitno je napomenuti da će ovdje biti predstavljen samo mali dio mogućnosti koje Splunk nudi. Više informacija o Splunku i kako ga iskoristiti za analizu logova općenito dostupno je na [[racfor_wiki: | ||
| Redak 214: | Redak 214: | ||
| - | Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon | + | Primjer upita koji će nam vratiti Sysmon logove koji se odnose na novostvorene procese dan je u nastavku. Potrebno je definirati mjesto na kojem se nalaze Sysmon |
| < | < | ||
| Redak 222: | Redak 222: | ||
| </ | </ | ||
| - | ==== Analiza Sysmon logova pomoću Event Viewera ==== | + | ==== Analiza Sysmon logova |
| Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona, logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. | Windows Event Viewer dolazi s Windows operacijskim sustavom te ga nije potrebno dodatno podešavati i konfigurirati kako bi skupljao i nudio mogućnost analize logova. Nakon instalacije Sysmona, logovi će se bilježiti unutar Event Viewera te ih je moguće tamo analizirati. Analiza se najčešće radi filtriranjem logova prema zadanom event ID-ju ili pretragom po ključnim riječima. | ||
| Redak 235: | Redak 235: | ||
| Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki: | Slika 4. Prozor za filtriranje logova u Event Vieweru [[racfor_wiki: | ||
| - | ==== Analiza Sysmon logova pomoću PowerShella ==== | + | ==== Analiza Sysmon logova |
| Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti. | Analiza Sysmon logova s pomoću PowerShella nudi nam mogućnost da automatiziramo analizu Sysmon logova. Ovo predstavlja prednost pred Event Viewerom jer možemo napisati kratke PowerShell skripte koje će nam izdvojiti zanimljive logove koje želimo detaljnije istražiti. Izdvojene logove je onda moguće parsirati upotrebom jednostavnih skripti kako bi izdvojili vrijednosti svakog polja unutar nekog loga. Na kraju je moguće puno jednostavnije pretraživati ključne riječi koje će nas dovesti do logova koji su zabilježili zlonamjerne aktivnosti. | ||