SOT

SOT

SOAR
Security Orchestration, Automation and Response

Автоматизация реагирования на инциденты информационной безопасности при помощи динамических плейбуков с применением СЗИ, выстраиванием цепочки атаки и объектно-ориентированным подходом

NG SOAR
Next Generation SOAR

Автоматизация реагирования на инциденты ИБ со встроенной базовой корреляцией, сбором сырых событий непосредственно с СЗИ, динамическими плейбуками, выстраиванием цепочки атаки и объектно-ориентированным подходом

AM
Asset Management

Описание ИТ-ландшафта, обнаружение новых объектов в сети, категорирование активов, инвентаризации и управления жизненным циклом оборудования и ПО на АРМ и серверах организаций

VM
Vulnerability Management

Выстраивание процесса обнаружения и устранения технических уязвимостей, сбор информации с имеющихся сканеров защищённости, платформ управления обновлениями, экспертных внешних сервисов и других решений

ГосСОПКА
Государственная Система Обнаружения Предупреждения и Ликвидации Последствий Компьютерных Атак

Двустороннее взаимодействие с Национальным координационным центром по компьютерным инцидентам (НКЦКИ), а именно передача информации об инцидентах и получение оперативных уведомлений/бюллетеней от регулятора

FinCERT
Financial Computer Emergency Response Team

Двустороннее взаимодействие с Центральным Банком (ЦБ РФ, ЦБ РБ и др.), а именно передача информации об инцидентах и получение оперативных уведомлений/бюллетеней от регулятора

Напишите нам на sales@securityvision.ru или закажите демонстрацию

GRC

GRC

КИИ
Критическая Информационная Инфраструктура

Аудит и исполнение требований ФЗ-187 «О безопасности критической информационной инфраструктуры Российской Федерации» и других нормативных документов

RM
Risk Management

Формирование реестра рисков, угроз, мер защиты и других параметров контроля, оценка по выбранной методике, формирование перечня дополнительных мер для изменения уровня риска, контроль исполнения, периодическая переоценка

ORM
Operational Risk Management

Учёт и фиксация событий операционных рисков (СОР), мониторинг ключевых индикаторов рисков (КИР) и проведение самооценки /контроля согласно положению №716-П ЦБ РФ

CM
Compliance Management

Аудит соответствия и комплаенса различным методологиям и стандартам

BCP
Business Continuity Plan

Автоматизация процесса обеспечения непрерывности и восстановления деятельности (ОНиВД) после наступления чрезвычайных ситуаций

Напишите нам на sales@securityvision.ru или закажите демонстрацию

Применение утилиты Sysmon для повышения уровня кибербезопасности

Применение утилиты Sysmon для повышения уровня кибербезопасности
29.04.2024

Руслан Рахметов, Security Vision

 

При организации системы управления ИБ в компании множество задач связаны с обеспечением безопасности конечных точек (рабочих станций и серверов) под управлением ОС Windows и Linux. Выбор средств защиты велик, однако определенные ограничения накладывают и выделяемые на ИБ бюджеты, и вопросы совместимости рассматриваемых СЗИ с конкретными ОС. При этом зачастую от защитных решений требуется реализация функций безопасности, которые присутствуют либо в самих ОС в виде встроенного функционала, либо в свободно распространяемом ПО. Примером такого функционала является ведение детальных журналов событий безопасности и передача их в SIEM-системы, с учетом того, что ИБ-аналитиков как правило интересует запуск и остановка процессов и сервисов, сетевые соединения, изменение конфигураций конечных устройств, а также специфические редкие события, указывающие на вредоносную активность. Анализ подобных событий может способствовать выявлению киберинцидентов, а в рамках расследования кибератаки журналы аудита могут стать источником ценных сведений. Одними из самых полезных инструментов аналитика SOC-центра являются решения для защиты конечных точек (EDR, Endpoint Detection and Response), которые объединяют в себе функционал ведения детальных журналов безопасности, мониторинг и блокирование опасных действий, централизованное управление. Однако СЗИ такого типа недешевы, поэтому в некоторых случаях целесообразно рассмотреть некоторые бесплатные утилиты, хотя бы частично реализующие требуемый функционал. Одной из таких программ является утилита Sysmon (сокращение от System Monitor) из официального пакета Microsoft Sysinternals Suite, которая устанавливается на Windows и Linux и позволяет вести глубокий аудит работы ОС в целях выявления кибератак. Данная утилита хорошо зарекомендовала себя как среди исследователей кибербезопасности, так и в среде аналитиков SOC-центров. В данной статье мы подробно расскажем про Sysmon, дадим рекомендации по её настройке и использованию.

 

В соответствии с описанием на официальной странице Sysmon, данная утилита предназначена для мониторинга и записи системных действий, она устанавливается в виде сервиса и драйвера, а также обладает функционалом предотвращения несанкционированных изменений её работы с помощью технологии защиты процессов Protected Process Light (PPL). Данная технология применяется в ОС старше Windows 8.1 и позволяет защитить критичные системные процессы, подписанные цифровой подписью, от воздействия ВПО или злонамеренных действий пользователей. Установка драйвера утилиты Sysmon позволяет получать более глубокий доступ к данным о работе ОС и начинать сбор событий сразу после включения устройства, что помогает обнаруживать скрытное ВПО, запускаемое до старта основных компонентов ОС. Упрощает централизованный сбор событий аудита в SIEM-систему то, что события Sysmon записываются в стандартный журнал Windows (Applications and Services Logs - Microsoft - Windows - Sysmon / Operational). Принцип сбора данных утилитой Sysmon заключается в выполнении обратных вызовов к ядру ОС Windows (kernel callbacks), использовании трассировки событий Windows (Event Tracing for Windows, сокращенно ETW), а также выполнении API-вызовов поставщиков телеметрии ОС Windows. В ОС Linux работа Sysmon основана на использовании библиотеки sysinternalsEBPF, которая использует технологию eBPF для сбора информации о работе процессов, системных вызовов и сокетов. События Sysmon в ОС Linux записываются в стандартный файл /var/log/syslog.

 

Актуальная версия утилиты Sysmon для Windows обладает следующим функционалом:


- Регистрирует события создания процесса с командной строкой запуска и данными родительского процесса;

- Фиксирует значение хэш-суммы исполняемого файла процесса с использованием алгоритмов SHA1, MD5, SHA256, IMPHASH;

- Регистрирует загрузку драйверов и DLL с указанием их цифровых подписей и значений хэш-сумм;

- Регистрирует прямой доступ (raw access) к дискам и томам;

- Регистрирует сетевые соединения с указанием имени процесса-инициатора, IP-адреса назначения, имени хоста и номера порта;

- Выявляет изменения в дате создания файлов;

- Позволяет заблокировать создание файлов форматов EXE, DLL, SYS в определенных каталогах, с определенными хэш-суммами, создаваемые определенными родительскими процессами;

- Позволяет создавать гибкие XML-конфигурации с указанием объектов контроля для учета всех особенностей среды функционирования.

 

Для установки Sysmon в среде Windows потребуется выполнить следующие действия:


1. Скачать дистрибутив с https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon

2. Опционально: создать XML-файл с конфигурацией Sysmon.

3. Установить sysmon (пример для архитектуры x64):

C:\folder\sysmon64.exe -accepteula -i C:\folder\sysmonconfig-export.xml, где sysmonconfig-export.xml - файл конфигурации, sysmon64.exe - файл-установщик.

Поддерживается запуск установки из сетевой папки. Исполняемый файл сервиса Sysmon после установки находится в каталоге C:\Windows\sysmon64.exe.

 

Для установки Sysmon в среде Linux (например, на Ubuntu) потребуется выполнить следующие действия:


1. Зарегистрировать в системе ключ и репозиторий Microsoft:

wget -q https://packages.microsoft.com/config/ubuntu/$(lsb_release -rs)/packages-microsoft-prod.deb -O packages-microsoft-prod.deb

sudo dpkg -i packages-microsoft-prod.deb

2. Получить актуальный список пакетов:

sudo apt-get update

3. Установить утилиту:

sudo apt-get install sysmonforlinux

sudo sysmon -accepteula -i /opt/sysmon/config.xml , где config.xml - файл конфигурации

 

Рассмотрим типы событий, которые фиксирует утилита Sysmon в среде Windows:


1. Event ID 1: Process creation (Создание процесса) - регистрируется событие создания процесса с командной строкой запуска, данными родительского процесса, значением ProcessGUID;

2. Event ID 2: A process changed a file creation time (Процесс изменил дату создания файла) - регистрируются изменения в дате создания файлов, поскольку данный прием часто используется атакующими для сокрытия следов вредоносных действий;

3. Event ID 3: Network connection (Сетевое соединение) - регистрируется сетевая активность процессов с указанием пути к процессу, протокола (TCP или UDP), IP-адреса назначения, имени хоста, номера порта;

4. Event ID 4: Sysmon service state changed (Изменение статуса сервиса Sysmon) - регистрируется запуск и остановка сервиса Sysmon;

5. Event ID 5: Process terminated (Процесс завершен) - регистрируется завершение процессов с указанием времени, GUID и ID процесса;

6. Event ID 6: Driver loaded (Драйвер загружен) - регистрируется загрузка драйверов в ОС с указанием их цифровых подписей и значений хэш-сумм;

7. Event ID 7: Image loaded (Образ загружен) - регистрируется загрузка модулей (DLL-библиотек) в память процессов с указанием имени процесса, цифровых подписей и значений хэш-сумм загружаемых модулей;

8. Event ID 8: CreateRemoteThread (Создание удаленного потока) - регистрируется создание потока одного процесса в адресном пространстве другого процесса, т.е. инъекция кода и миграция одного процесса в другой, что часто используется как метод сокрытия вредоносной активности;

9. Event ID 9: RawAccessRead (Прямой доступ на чтение) - регистрируется прямой доступ к дискам и томам (с указанием процесса, получившего доступ, и имени диска/тома), что часто используется атакующими для сокрытия несанкционированного доступа к данным;

10. Event ID 10: ProcessAccess (Доступ к процессу) - регистрируется доступ одного процесса к памяти другого процесса, что используется атакующими для получения чувствительной информации, обрабатываемой критичными системными процессами (например, процессом Lsass.exe, который обрабатывает учетные данные пользователей ОС);

11. Event ID 11: FileCreate (Создание файла) - регистрируется создание и перезапись файлов, что позволяет выявлять создание файлов ВПО в распространенных каталогах (временные папки, папки сетевых загрузок, каталоги автозапуска);

12. Event ID 12: RegistryEvent (Object create and delete) (Создание и удаление объекта реестра) - регистрируется создание и удаление ключей и значений реестра, что позволяет контролировать состояние определенных веток реестра, часто используемых ВПО;

13. Event ID 13: RegistryEvent (Value Set) (Установка значения в реестре) - регистрируется изменение значений в реестре;

14. Event ID 14: RegistryEvent (Key and Value Rename) (Переименование ключей и значений в реестре) - регистрируется внесение изменений в названия ключей и значений в реестре;

15. Event ID 15: FileCreateStreamHash (Создание файлового потока) - регистрируется создание альтернативного потока данных, например, при скачивании файлов из Интернет и установке MOTW-меток браузерами с указанием хэш-суммы файла;

16. Event ID 16: ServiceConfigurationChange (Изменение конфигурации сервиса Sysmon) - регистрируется изменение конфигурации Sysmon;

17. Event ID 17: PipeEvent (Pipe Created) (Создание именованного канала) - регистрируется создание именованного канала, что часто используется ВПО для обмена данными между процессами;

18. Event ID 18: PipeEvent (Pipe Connected) (Подключение к именованному каналу) - регистрируется соединение по именованному каналу между клиентом и сервером;

19. Event ID 19: WmiEvent (WmiEventFilter activity detected) (Выявлена активность создания фильтра событий WMI) - регистрируется создание фильтра событий WMI, что часто используется ВПО для запуска;

20. Event ID 20: WmiEvent (WmiEventConsumer activity detected) (Выявлена активность создания потребителя событий WMI) - регистрируется создание потребителя событий WMI, что часто используется ВПО как метод закрепления в скомпрометированной системе;

21. Event ID 21: WmiEvent (WmiEventConsumerToFilter activity detected) (Выявлена активность подключения потребителя событий WMI к фильтру событий) - регистрируется подключение потребителя событий к фильтру событий WMI;

22. Event ID 22: DNSEvent (DNS query) (Запрос DNS) - регистрируется DNS-запрос от какого-либо процесса вне зависимости от полученного ответа от DNS-сервера;

23. Event ID 23: FileDelete (File Delete archived) (Удаление файла с сохранением его копии) - регистрируется удаление файла с сохранением его копии с каталоге-архиве Sysmon (по умолчанию, используется папка C:\Sysmon);

24. Event ID 24: ClipboardChange (New content in the clipboard) (Изменение содержимого буфера обмена) - регистрируется изменение содержимого буфера обмена;

25. Event ID 25: ProcessTampering (Process image change) (Изменение образа процесса) - регистрируются попытки сокрытия процессов с использованием техник "Herpaderping" и "Hollowing";

26. Event ID 26: FileDeleteDetected (File Delete logged) (Удаление файла) - регистрируется удаление файла;

27. Event ID 27: FileBlockExecutable (Создание исполняемого файла заблокировано) - регистрируется обнаружение и блокирование создания исполняемых файлов;

28. Event ID 28: FileBlockShredding (Удаление файла заблокировано) - регистрируется обнаружение и блокирование удаления файлов с использованием специальных утилит (например, с помощью утилиты SDelete из состава пакета Sysinternals);

29. Event ID 29: FileExecutableDetected (Обнаружено создание исполняемого файла) - регистрируется обнаружение создания исполняемых файлов.

 

Для Linux-систем регистрируются события типов Event ID 1, 3, 4, 5, 9, 11, 16, 23, описания которых соответствуют приведенным выше.

 

Отметим, что XML-конфигурации для Sysmon могут быть глубоко кастомизированы для соответствия особенностям любой инфраструктуры. Для примера можно воспользоваться конфигурациями, приведенными ниже, которые сопровождены комментариями авторов, а также учитывают данные проекта MITRE ATT&CK для сопоставления регистрируемых событий с техниками атакующих:


https://github.com/olafhartong/sysmon-modular

https://github.com/ion-storm/sysmon-config

https://github.com/SwiftOnSecurity/sysmon-config

https://github.com/microsoft/MSTIC-Sysmon/tree/main/linux/configs

СЗИ SIEM MITRE SOC Управление ИБ

Рекомендуем

SOC (Security Operation Center): что это такое и зачем используется? Центры мониторинга информационной безопасности
SOC (Security Operation Center): что это такое и зачем используется? Центры мониторинга информационной безопасности
Кейлоггер для кибербезопасности и оптимизации
Кейлоггер для кибербезопасности и оптимизации
Информационная  безопасность (ИБ) - что это такое. Виды защиты информации.
Информационная безопасность (ИБ) - что это такое. Виды защиты информации.
Что такое IRP, где используется и как внедряется
Что такое IRP, где используется и как внедряется
SIEM системы (Security Information and Event Management) - что это и зачем нужно?
SIEM системы (Security Information and Event Management) - что это и зачем нужно?
Управление рисками информационной безопасности. Часть 1. Основные понятия и методология оценки рисков
Управление рисками информационной безопасности. Часть 1. Основные понятия и методология оценки рисков
Федеральный закон № 161-ФЗ «О национальной платежной системе»
Федеральный закон № 161-ФЗ «О национальной платежной системе»
Категорирование объектов критической информационной инфраструктуры в рамках 187-ФЗ. Постановление Правительства РФ № 127
Категорирование объектов критической информационной инфраструктуры в рамках 187-ФЗ. Постановление Правительства РФ № 127
Практика ИБ. Централизованный сбор логов с Windows-устройств
Практика ИБ. Централизованный сбор логов с Windows-устройств
Управление инцидентами ИБ (конспект лекции)
Управление инцидентами ИБ (конспект лекции)
Обеспечение безопасности значимых объектов критической информационной инфраструктуры в рамках 187-ФЗ. Приказы ФСТЭК России №235 и 239
Обеспечение безопасности значимых объектов критической информационной инфраструктуры в рамках 187-ФЗ. Приказы ФСТЭК России №235 и 239
Защита критической информационной инфраструктуры (конспект лекции)
Защита критической информационной инфраструктуры (конспект лекции)

Рекомендуем

SOC (Security Operation Center): что это такое и зачем используется? Центры мониторинга информационной безопасности
SOC (Security Operation Center): что это такое и зачем используется? Центры мониторинга информационной безопасности
Кейлоггер для кибербезопасности и оптимизации
Кейлоггер для кибербезопасности и оптимизации
Информационная безопасность (ИБ) - что это такое. Виды защиты информации.
Информационная  безопасность (ИБ) - что это такое. Виды защиты информации.
Что такое IRP, где используется и как внедряется
Что такое IRP, где используется и как внедряется
SIEM системы (Security Information and Event Management) - что это и зачем нужно?
SIEM системы (Security Information and Event Management) - что это и зачем нужно?
Управление рисками информационной безопасности. Часть 1. Основные понятия и методология оценки рисков
Управление рисками информационной безопасности. Часть 1. Основные понятия и методология оценки рисков
Федеральный закон № 161-ФЗ «О национальной платежной системе»
Федеральный закон № 161-ФЗ «О национальной платежной системе»
Категорирование объектов критической информационной инфраструктуры в рамках 187-ФЗ. Постановление Правительства РФ № 127
Категорирование объектов критической информационной инфраструктуры в рамках 187-ФЗ. Постановление Правительства РФ № 127
Практика ИБ. Централизованный сбор логов с Windows-устройств
Практика ИБ. Централизованный сбор логов с Windows-устройств
Управление инцидентами ИБ (конспект лекции)
Управление инцидентами ИБ (конспект лекции)
Обеспечение безопасности значимых объектов критической информационной инфраструктуры в рамках 187-ФЗ. Приказы ФСТЭК России №235 и 239
Обеспечение безопасности значимых объектов критической информационной инфраструктуры в рамках 187-ФЗ. Приказы ФСТЭК России №235 и 239
Защита критической информационной инфраструктуры (конспект лекции)
Защита критической информационной инфраструктуры (конспект лекции)

Похожие статьи

Технология SOAR и ее место в SOC
Технология SOAR и ее место в SOC
Живее всех живых: непрерывность бизнеса
Живее всех живых: непрерывность бизнеса
Что такое системы анализа трафика (Network Traffic Analysis, NTA), их отличие от NDR и IDS
Что такое системы анализа трафика (Network Traffic Analysis, NTA), их отличие от NDR и IDS
Анатомия визуализации. Часть первая: от задачи к исполнению
Анатомия визуализации. Часть первая: от задачи к исполнению
Что такое аутентификация Kerberos (Керберос), что такое NTLM и как они работают
Что такое аутентификация Kerberos (Керберос), что такое NTLM и как они работают
Open software supply chain attack reference (OSC&R)
Open software supply chain attack reference (OSC&R)
Фантастический TI и где он обитает
Фантастический TI и где он обитает
Что такое шлюзы безопасности и какие функции они выполняют
Что такое шлюзы безопасности и какие функции они выполняют
Ландшафт угроз информационной безопасности последних лет. Часть 2
Ландшафт угроз информационной безопасности последних лет. Часть 2

Похожие статьи

Технология SOAR и ее место в SOC
Технология SOAR и ее место в SOC
Живее всех живых: непрерывность бизнеса
Живее всех живых: непрерывность бизнеса
Что такое системы анализа трафика (Network Traffic Analysis, NTA), их отличие от NDR и IDS
Что такое системы анализа трафика (Network Traffic Analysis, NTA), их отличие от NDR и IDS
Анатомия визуализации. Часть первая: от задачи к исполнению
Анатомия визуализации. Часть первая: от задачи к исполнению
Что такое аутентификация Kerberos (Керберос), что такое NTLM и как они работают
Что такое аутентификация Kerberos (Керберос), что такое NTLM и как они работают
Open software supply chain attack reference (OSC&R)
Open software supply chain attack reference (OSC&R)
Фантастический TI и где он обитает
Фантастический TI и где он обитает
Что такое шлюзы безопасности и какие функции они выполняют
Что такое шлюзы безопасности и какие функции они выполняют
Ландшафт угроз информационной безопасности последних лет. Часть 2
Ландшафт угроз информационной безопасности последних лет. Часть 2