نحوه بررسی بدافزار با استفاده از Splunk و Sysmon

System Monitor یا sysmon یک نرم‌افزار کوچک می‌باشد که به صورت سرویسی و درایور بر روی سیستم عامل نصب می‌شود. Sysmon بعد از یک بار نصب در راه‌اندازی‌های مجدد سیستم عامل به صورت دائمی فعال باقی می‌ماند. این نرم‌افزار در واقع اطلاعات دقیقی در مورد نحوه ایجاد و ماهیت پردازه‌ها، اتصالات شبکه و تغییرات در زمان ایجاد فایل‌ها و سایر اقدامات حول این موضوعات ارائه می‌دهد. ما می‌توانیم با جمع‌آوری و تجزیه تحلیل این رویدادها از طریق ایجنت‌های مربوط به SIEM ها از جمله Universal Forwarder اسپلانک، فعالیت‌های مخرب یا غیرعادی را شناسایی و نحوه فعالیت مهاجمان و بدافزارها در شبکه خود را به درستی درک کنیم.

قابلیت‌های Sysmon

رویدادنگاری ایجاد پردازه‌ها با کلیه دستورات Command line مربوط به پردازه فعلی و پردازه والد آن.
ایجاد hash از image فایل مربوط به پردازه با استفاده از متدهای md5, sha1 و sha256.
قابلیت استفاده از چندین hash به صورت همزمان.
هر رویداد شامل یک GUID برای هر پردازه در رویدادنگاری می‌باشد که از این طریق امکان همبستگی رویدادها در صورت استفاده مجدد از شماره رویدادها فراهم می‌شود.
هر رویداد شامل یک GUID نشست می‌باشد که از آن جهت پردازش رویدادهای مربوط به logon session های یکسان استفاده می‌شود.
امکان رویدادنگاری بارگیری هر نوع درایور یا DLL به همراه hash و signature آنها.
رویدادنگاری دسترسی‌های مربوط به خواندن دیتا از دیسک‌ها و درایوها.
رویدادنگاری اتصالات شبکه‌ای ازجمله پردازه مربوط به هر اتصال، آدرس IP مبدا و مقصد، شماره پورت مبدا و مقصد، اسم هاست و اسم پورت.
شناسایی تغییر در زمان ایجاد فایل برای شناسایی اینکه فایل دقیقا کی ایجاد شده است. تغییر در زمان ایجاد فایل تکنیکی است که معمولا توسط بدافزارها برای پاک کردن ردپایشان انجام می‌شود.
بارگیری اتوماتیک تنظیمات در صورت تغییر در رجیستری.
رویدادنگاری از فرآیند boot شدن سیستم عامل برای ثبت فعالیت‌های بدافزارهای پشرفته در کرنل.

نصب Sysmon بر روی ویندوز

برای نصب Sysmon ابتدا نسخه مورد نظر را از سایت microsoft دانلود و با استفاده از دستور زیر نصب می‌کنیم.

sysmon -accepteula -i

بعد از نصب، Sysmon به صورت اتوماتیک بر روی سیستم فعال و رویدادهای خود را در مسیر Applications and Services Logs/Microsoft/Windows/Sysmon/Operational ذخیره می‌کند. جدول زیر شامل همه Event ID های مربوط به Sysmon می‌باشد.

ID	Tag
1 ProcessCreate	ProcessCreate
2 FileCreateTime	File creation time
3 NetworkConnect	Network connection detected
4 n/a	Sysmon service state change (cannot be filtered)
5 ProcessTerminate	Process terminated
6 DriverLoad	Driver Loaded
7 ImageLoad	Image loaded
8 CreateRemoteThread	CreateRemoteThread detected
9 RawAccessRead	RawAccessRead detected
10 ProcessAccess	Process accessed
11 FileCreate	File created
12 RegistryEvent	Registry object added or deleted
13 RegistryEvent	Registry value set
14 RegistryEvent	Registry object renamed
15 FileCreateStreamHash	File stream created
16 n/a	Sysmon configuration change (cannot be filtered)
17 PipeEvent	Named pipe created
18 PipeEvent	Named pipe connected
19 WmiEvent	WMI filter
20 WmiEvent	WMI consumer
21 WmiEvent	WMI consumer
22 DNSQuery	DNS query
23 FileDelete	File Delete archived
24 ClipboardChange	New content in the clipboard
25 ProcessTampering	Process image change
26 FileDeleteDetected	File Delete logged