Комментарии 6
Круть, спасибо!
По хорошему всем этим должен заниматься endpoint security из коробки, а не заставлять людей делать закат солнца вручную вместо EDR.
Интересная статья но для профи, для новичков сложно ибо не понятно каким образом автор к примеру фильтрует:
Event ID = 4656
Object Type = Process
Object Name = *lsass.exe
Access List = *%%4484*
В стандартным методом в журнале Безопасности, Фильтр текущего журнала, получается указать только Event ID = 4656
Как вызвать такое окно тоже не понятно:
Где включаются вот такие политики аудита тоже не понятно:
Для логирования командной строки процесса необходимо дополнительно включить политики аудита:
Process Tracking – Process Creation
System – Audit Process Creation – Include command line in process creation events
авторы показали лишь пруф, а в реальности эти события вычитываются централизовано и обрабатываются автоматически siem-системой, параметры типа Object Type извлекаются из события парсером для анализа.
Добрый день! Как верно подметил @AlexeyK77, фильтры написаны на псевдокоде для использования в SIEM-системах.
"Как вызвать такое окно": необходимо зайти в консоль Управление групповыми политиками, создать объект ГПО и перейти в его настройку. Пройти по пути "Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Реестр". Далее нажать правой кнопкой мыши и выбрать "Добавить раздел".
Там набрать путь "MACHINE\SYSTEM\CurrentControlSet\Control\Lsa", после этого нажать "Дополнительно".
Перейти во вкладку "Аудит" и нажать "Добавить" - появится окно, которое указано в статье.
"Где включаются такие политики аудита": необходимо в редакторе управления групповыми политиками пройти по пути "Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Конфигурация расширенной политики аудита\Политики аудита\Подробное отслеживание" (Process Tracking – Process Creation)
Необходимо в редакторе управления групповыми политиками пройти по пути "Конфигурация компьютера\Политики\Административный шаблоны\Система\Аудит создания процессов" (System – Audit Process Creation – Include command line in process creation events)
Как обнаружить хакера на этапе дампа учетных данных в Windows?