🔹 یکی از مهمترین بخشهایی که باید در SOC کنترل بشه، لاگ کلاینتهاست.
فرض کنید قراره یک پالیسی در سطح شبکه پیادهسازی کنید؛ به این شکل که وقتی یک USB Storage Device (مثل فلش یا هارد اکسترنال) از طریق پورت USB به سیستم متصل میشه، لاگ این اتصال به SIEM ارسال بشه.
اینجا Event Viewer ویندوز به کار ما نمیاد، پس میریم سراغ Sysmon .
وقتی یک USB Storage به سیستم وصل میشه، ویندوز سرویس USBSTOR (USB Mass Storage Driver) رو که در رجیستری با مسیر زیر تعریف شده، فراخوانی میکنه:
🔜 جلوتر با هم بررسی میکنیم که چطور Sysmon رو نصب کنیم و این لاگ رو به دست بیاریم.
@Socroot
فرض کنید قراره یک پالیسی در سطح شبکه پیادهسازی کنید؛ به این شکل که وقتی یک USB Storage Device (مثل فلش یا هارد اکسترنال) از طریق پورت USB به سیستم متصل میشه، لاگ این اتصال به SIEM ارسال بشه.
اینجا Event Viewer ویندوز به کار ما نمیاد، پس میریم سراغ Sysmon .
وقتی یک USB Storage به سیستم وصل میشه، ویندوز سرویس USBSTOR (USB Mass Storage Driver) رو که در رجیستری با مسیر زیر تعریف شده، فراخوانی میکنه:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
ما میتونیم با استفاده از Event Code 13 در Sysmon (که مربوط به تغییرات در رجیستری هست)، لاگ این اتصال رو دریافت کنیم.
🔜 جلوتر با هم بررسی میکنیم که چطور Sysmon رو نصب کنیم و این لاگ رو به دست بیاریم.
@Socroot
👏6👍2
Soc Root
🔹 یکی از مهمترین بخشهایی که باید در SOC کنترل بشه، لاگ کلاینتهاست. فرض کنید قراره یک پالیسی در سطح شبکه پیادهسازی کنید؛ به این شکل که وقتی یک USB Storage Device (مثل فلش یا هارد اکسترنال) از طریق پورت USB به سیستم متصل میشه، لاگ این اتصال به SIEM ارسال…
🔹 همونطور که گفتم، اول باید Sysmon رو نصب و کانفیگ کنیم.
یه نکته همین اول کار بگم: برای اینکه لاگ وصل شدن یه USB Storage Device (مثل فلش یا هارد اکسترنال) رو بگیریم، لازمه Sysmon روی همهی کلاینتهایی که مدنظر داریم نصب و تنظیم بشه.
📥 برای نصب Sysmon میتونید از سایت رسمی مایکروسافت دانلودش کنید:
👈 لینک دانلود Sysmon
و فایل کانفیگ آماده رو هم میشه از گیتهاب گرفت:
👈 لینک کانفیگ Sysmon Modular
بعد از اینکه این دوتا فایل (خود Sysmon و فایل sysmonconfig.xml) رو دانلود کردیم، میریزیمشون توی یه پوشه داخل درایو C .
حالا با دسترسی Administrator، یه CMD باز میکنیم و همونجا مراحل نصب رو میریم جلو.
با دستور زیر Sysmon نصب و کانفیگ میشه:
بعد از نصب، لاگهای Sysmon رو میتونیم از Event Viewer توی مسیر زیر ببینیم:
@Socroot
یه نکته همین اول کار بگم: برای اینکه لاگ وصل شدن یه USB Storage Device (مثل فلش یا هارد اکسترنال) رو بگیریم، لازمه Sysmon روی همهی کلاینتهایی که مدنظر داریم نصب و تنظیم بشه.
📥 برای نصب Sysmon میتونید از سایت رسمی مایکروسافت دانلودش کنید:
👈 لینک دانلود Sysmon
و فایل کانفیگ آماده رو هم میشه از گیتهاب گرفت:
👈 لینک کانفیگ Sysmon Modular
بعد از اینکه این دوتا فایل (خود Sysmon و فایل sysmonconfig.xml) رو دانلود کردیم، میریزیمشون توی یه پوشه داخل درایو C .
حالا با دسترسی Administrator، یه CMD باز میکنیم و همونجا مراحل نصب رو میریم جلو.
با دستور زیر Sysmon نصب و کانفیگ میشه:
sysmon.exe -accepteula -i sysmonconfig.xml
بعد از نصب، لاگهای Sysmon رو میتونیم از Event Viewer توی مسیر زیر ببینیم:
Applications and Services Logs > Microsoft > Windows > Sysmon
⚠️ یه نکتهی مهم: لاگ اتصال USB Storage به صورت پیشفرض توی فایل کانفیگ دانلودی نیست. پس لازمه یه رول جدید به فایل کانفیگ اضافه کنیم.🔜 توی ادامه میریم سراغ اینکه چطوری این رول رو اضافه کنیم.
@Socroot
👏7💯4🗿1
Soc Root
🔹 همونطور که گفتم، اول باید Sysmon رو نصب و کانفیگ کنیم. یه نکته همین اول کار بگم: برای اینکه لاگ وصل شدن یه USB Storage Device (مثل فلش یا هارد اکسترنال) رو بگیریم، لازمه Sysmon روی همهی کلاینتهایی که مدنظر داریم نصب و تنظیم بشه. 📥 برای نصب Sysmon میتونید…
🔹همونطور که قول دادم، این پست ادامهی بحث قبلیمونه و میخوایم بریم سراغ اضافه کردن رول جدید به Sysmon Config برای ثبت لاگ اتصال USB Storage Device.
برای این کار باید داخل فایل sysmonconfig.xml رولهایی اضافه کنیم که تغییرات رجیستری مرتبط با USB رو ثبت کنه. اینجا سه مسیر مهم هست که باید مانیتور بشن:
📌 دلیل انتخاب این مسیرها:
USBSTOR → مسیر رجیستری مربوط به سرویس USB Mass Storage که هنگام اتصال USB اجرا میشه.
USB → شامل اطلاعات کلی دستگاههای USB متصل.
MountedDevices → مسیر رجیستری که اطلاعات درایوهای متصلشده ذخیره میشه.
بعد از اینکه رولها رو اضافه کردید، یک نکته حیاتی هست:
Sysmon بهصورت خودکار تغییرات کانفیگ رو نمیشناسه. باید کانفیگش رو آپدیت کنید تا تغییرات اعمال بشه. برای این کار از دستور زیر استفاده کنید:
با این کار، Sysmon کانفیگ جدید رو میخونه و شروع به لاگگیری بر اساس رولهای اضافهشده میکنه.
اینجا ما مرحلهی اصلی اضافه کردن رول برای مانیتور USB رو کامل کردیم.
با این تنظیمات، Sysmon آماده ثبت لاگ اتصال USB Storage Device هست و این بخش از مانیتورینگ امنیتی تکمیل میشه. ✅
@Socroot
برای این کار باید داخل فایل sysmonconfig.xml رولهایی اضافه کنیم که تغییرات رجیستری مرتبط با USB رو ثبت کنه. اینجا سه مسیر مهم هست که باید مانیتور بشن:
<TargetObject condition="begin with">HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR</TargetObject>
<TargetObject condition="begin with">HKLM\SYSTEM\CurrentControlSet\Enum\USB</TargetObject>
<TargetObject condition="begin with">HKLM\SYSTEM\MountedDevices</TargetObject>
📌 دلیل انتخاب این مسیرها:
USBSTOR → مسیر رجیستری مربوط به سرویس USB Mass Storage که هنگام اتصال USB اجرا میشه.
USB → شامل اطلاعات کلی دستگاههای USB متصل.
MountedDevices → مسیر رجیستری که اطلاعات درایوهای متصلشده ذخیره میشه.
⚠️ نکته مهم: این رولها باید داخل بخش <RegistryEvent onmatch="include"> فایل کانفیگ Sysmon اضافه بشن، چون Event ID 13 مربوط به تغییرات رجیستری هست و ما از همین بخش استفاده میکنیم.
بعد از اینکه رولها رو اضافه کردید، یک نکته حیاتی هست:
Sysmon بهصورت خودکار تغییرات کانفیگ رو نمیشناسه. باید کانفیگش رو آپدیت کنید تا تغییرات اعمال بشه. برای این کار از دستور زیر استفاده کنید:
sysmon -c sysmonconfig.xml
با این کار، Sysmon کانفیگ جدید رو میخونه و شروع به لاگگیری بر اساس رولهای اضافهشده میکنه.
اینجا ما مرحلهی اصلی اضافه کردن رول برای مانیتور USB رو کامل کردیم.
با این تنظیمات، Sysmon آماده ثبت لاگ اتصال USB Storage Device هست و این بخش از مانیتورینگ امنیتی تکمیل میشه. ✅
@Socroot
🔥12