Ders 2.9: Sysmon ve süreç ağaçları
Windows'un kendi günlükleri programların ne yaptığı hakkında az şey söyler. Ücretsiz bir Microsoft aracı olan Sysmon, her süreci üst süreci ve tam komut satırıyla, ağ bağlantılarını, oluşturulan dosyaları ve kayıt defteri değişikliklerini kaydeder. Ona sorabileceğin en yararlı soru 'bunu kim başlattı?' sorusudur: Word'ün PowerShell başlatması neredeyse hiçbir zaman normal değildir. Laboratuvarda bir iş istasyonunun Sysmon olaylarını okuyor, süreç ağacını yeniden kuruyor, gizli PowerShell komutunu çözüyor ve oluşturduğu dosyayı, kalıcılığı ve C2 bağlantısını, hepsini tek bir dışa aktarımdan buluyorsun.
18 dk
Bu derste öğreneceklerin
- Sysmon'un neyi kaydettiğini açıklamak
- Üst ve alt süreçten bir süreç ağacı kurmak
- Şüpheli üst-alt süreç çiftlerini tanımak
- Bir süreci dosyalarına, kayıt defterine ve ağ etkinliğine kadar izlemek
- Arazide yaşayan (LOLBin) programları açıklamak
Temel terimler
- Sysmon
- Microsoft'un ücretsiz Sysinternals aracı System Monitor; ayrıntılı süreç, ağ, dosya ve kayıt defteri etkinliğini günlüğe yazar.
- Süreç ağacı
- Kimin kimi başlattığına göre bağlanmış süreçler (üst → alt).
- Olay 1 / 3 / 11 / 13
- Süreç oluşturma; ağ bağlantısı; dosya oluşturma; kayıt defteri değeri ayarlama.
- LOLBin (arazide yaşayan program)
- Saldırganların kötüye kullandığı meşru, yerleşik bir program; böylece başlamak için zararlı hiçbir şey kurulmasına gerek kalmaz.
← Aynı köken ilkesi ve CORS · Tüm dersler · İndirmeleri doğrulamak →