Co to jest Microsoft Sentinel i jaką pełni rolę w monitorowaniu środowiska Windows

W dzisiejszym świecie cyfrowym, bezpieczeństwo sieci stało się jednym z najważniejszych aspektów zarządzania systemami informatycznymi. Narzędzia takie jak Sysmon z pakietu Sysinternals i Microsoft Sentinel przy odpowiedniej konfiguracji mogą odegrać znaczącą rolę w wykrywaniu i reagowaniu na współczesne zagrożenia na wczesnym etapie. W tym i następnych artykułach z serii o integracji Microsoft Sentinel z Sysmon  zbadamy możliwości integracji tych dwóch kompleksowych narzędzi w celu zwiększenia efektywności monitorowania i reagowania na zagrożenia w środowisku IT. Zastanowimy się nad zawartością i wartością informacyjną zdarzeń poszczególnych kategorii zbieranych przez narzędzie Sysmon. 

Sysmon, istotny i rozwijany na bieżąco składnik pakietu Sysinternals stworzonego przez Marka Russinovicha i Bryce’a Cogswella, jest zaawansowanym narzędziem do monitorowania i zbierania informacji o aktywności systemowej w środowisku Windows ponad to, co notują standardowe logi systemowe. Z drugiej strony, Microsoft Sentinel to skalowalne, chmurowe rozwiązanie do zarządzania zagrożeniami, które korzysta z zaawansowanych technologii SIEM (Security Information and Event Management) i automatyzacji odpowiedzi - SOAR (Security Orchestration, Automation, and Response).

Integracja Sysmona z Microsoft Sentinel otwiera nowe możliwości dla administratorów systemów i specjalistów ds. bezpieczeństwa, umożliwiając im skorzystanie z zalet obu narzędzi. Zadaniem tego artykułu jest przedstawienie, jak te dwa systemy mogą współpracować, aby zapewnić lepszą ochronę, wykrywanie i reakcję na incydenty bezpieczeństwa.

Sysmon to zaawansowane narzędzie do monitorowania i zbierania informacji o aktywności systemowej w systemie Windows. Jest częścią pakietu Sysinternals. To narzędzie elastyczne i w pełni konfigurowalne. Zdarzenia można dostosować do potrzeb i skupić się na tych, które wnoszą wartość w procesie wykrywania i analizy. Dostrojenia Sysmona można doknać poprzez konfigurację w formacie .xml.  Poniżej przedstawiamy zestawienie funkcjonalności Sysmona według numeru ID zdarzenia występującego w kronice zdarzeń wraz z przykładami. Informacje te będą z pewnością użyteczne dla pracowników SoC związanych z cyberbezpieczeństwem. Artykuł zaciekawi też studentów kierunków informatycznych w obszarze cyberbezpieczeństwa. Znajdą też coś dla siebie zainteresowani rozszerzoną możliwością monitorowania systemów Windows i Linux.

Rejestrowanie procesów

Sysmon rejestruje tworzenie procesów wraz z pełną linią poleceń dla bieżących i nadrzędnych procesów. Pole ProcessGUID jest unikatową wartością dla tego procesu w cyklu jego życia, aby ułatwić korelację zdarzeń w sytuacji, w której ID procesu byłoby ponownie użyte.

Wykrycie wstrzyknięcia wątku dzięki Microsoft Sentinel

Zdarzenie RawAccessRead wykrywa, gdy proces przeprowadza operacje odczytu z dysku przy użyciu notacji \\.\  Ta technika jest często używana przez złośliwe oprogramowanie do eksfiltracji obszaru danych plików, które są zablokowane do odczytu poprzez listy kontroli dostępu, a także w celu uniknięcia dostępu do plików narzędzi inspekcji. Sprawa dotyczy również odczytu pozostałości po usuniętych ważnych plikach, które nie zostały jeszcze nadpisane przez nowe dane. Zdarzenie wskazuje proces źródłowy i urządzenie docelowe.

Kontrola działania procesów dzięki ProcessAccess

ProcessAccess to kategoria zdarzeń utrwalająca fakt, iż proces uzyskiwał dostęp do adresów pamięci innych procesów. Umożliwia to wykrywanie narzędzi hakerskich, które odczytują zawartość pamięci procesów, takich jak Lsass.exe, winlogon.exe, wininit, services.exe, itd. Takie narzędzia służą do kradzieży poświadczeń wykorzystywanych w atakach typu Pass-the-Hash. Włączenie tej funkcji bez zastosowania szczegółowych filtrów spowoduje rejestrowanie znacznej ilości zdarzeń. Uzyskanie dostępu do pamięci procesów przez różne procesy w systemie jest zachowaniem naturalnym. Dlatego zazwyczaj należy to zrobić tylko za pomocą filtrów, które eliminują standardowe dostępy, a skupiają się na powszechnie znanych scenariuszach ataków typu „Credential dumping”. Współcześnie w znacznym stopniu są one ograniczane przez aktywność oprogramowania antywirusowego.