بسیاری از فعالیت‌هایی که در یک سیستم ویندوز انجام می‌شوند، در نگاه اول کاملاً عادی به نظر می‌رسند؛ از اجرای یک برنامه گرفته تا برقراری ارتباط با یک سیستم دیگر. اما برای یک تحلیلگر امنیت، مهم این است که بداند این فعالیت‌ها چگونه انجام شده‌اند، چه فرایندی آن‌ها را اجرا کرده و آیا نشانه‌ای از رفتار مشکوک در میان آن‌ها وجود دارد یا خیر.
بررسی این جزئیات، بخش مهمی از فرایند تحلیل رخدادهای امنیتی (Security Event Analysis) در مرکز عملیات امنیت (SOC) است. هرچه اطلاعات دقیق‌تری از فعالیت‌های سیستم در دسترس باشد، تحلیلگر می‌تواند ارتباط میان رویدادها را بهتر درک کند و شواهد بیشتری برای بررسی یک تهدید احتمالی در اختیار داشته باشد. در این میان، Sysmon یکی از ابزارهایی است که به ثبت این جزئیات کمک می‌کند.
Sysmon چیست؟ آشنایی با ابزار System Monitor
Sysmon (System Monitor) یک ابزار رایگان از مجموعه Microsoft Sysinternals است که برای پایش فعالیت‌های سیستم‌عامل ویندوز و ثبت جزئیات رویدادهای مرتبط با آن استفاده می‌شود. این ابزار به تحلیلگران امنیت اجازه می‌دهد اطلاعات بیشتری درباره فعالیت‌هایی مانند اجرای پردازش‌ها (Process Creation)، ارتباطات شبکه (Network Connections) و تغییرات فایل‌ها و رجیستری (Registry) به دست آورند.
برخلاف ابزارهای معمولی که اطلاعات محدودی از فعالیت‌های سیستم نمایش می‌دهند، Sysmon می‌تواند جزئیات بیشتری از برخی رویدادها را ثبت کند و آن‌ها را در گزارش‌های ویندوز (Windows Event Logs) ذخیره کند. این اطلاعات در بررسی فعالیت‌های مشکوک و تحلیل رخدادهای امنیتی کاربرد دارند.
نکته مهم این است که Sysmon یک آنتی‌ویروس یا ابزار تشخیص خودکار حملات نیست. وظیفه اصلی آن ثبت اطلاعات دقیق از فعالیت‌های مشخص‌شده در سیستم است؛ اطلاعاتی که تحلیلگران SOC می‌توانند برای بررسی رفتارهای غیرعادی، شناسایی نشانه‌های احتمالی حمله و درک بهتر اتفاقات رخ‌داده از آن‌ها استفاده کنند.
Sysmon چگونه کار می‌کند؟
Sysmon پس از نصب روی سیستم ویندوز، به‌صورت یک سرویس در پس‌زمینه اجرا می‌شود و فعالیت‌های مشخصی را که برای پایش تعریف شده‌اند، بررسی می‌کند. هنگامی که یکی از این فعالیت‌ها رخ می‌دهد، Sysmon اطلاعات مربوط به آن را ثبت کرده و در کانال اختصاصی خود در Windows Event Log ذخیره می‌کند.
برای مثال، زمانی که یک برنامه اجرا می‌شود، Sysmon می‌تواند اطلاعاتی مانند نام پردازش، مسیر فایل اجرایی، شناسه پردازش (Process ID) و پردازش والد (Parent Process) را ثبت کند. این جزئیات به تحلیلگر کمک می‌کنند تا متوجه شود چه برنامه‌ای اجرا شده و اجرای آن از کدام پردازش آغاز شده است.
یکی دیگر از بخش‌های مهم عملکرد Sysmon، فایل پیکربندی (Configuration) آن است. این پیکربندی مشخص می‌کند چه رویدادهایی ثبت شوند و کدام فعالیت‌ها در محدوده پایش قرار بگیرند. با تنظیم مناسب آن، می‌توان اطلاعات مرتبط با نیازهای امنیتی را ثبت کرد و از تولید حجم زیادی از رویدادهای غیرضروری جلوگیری کرد.
در نهایت، اطلاعات ثبت‌شده در Sysmon می‌توانند مستقیماً در Windows Event Viewer بررسی شوند یا به ابزارهای دیگری مانند Splunk منتقل شوند تا امکان جست‌وجو، بررسی ارتباط میان رویدادها و تحلیل فعالیت‌های مشکوک فراهم شود. البته کیفیت این اطلاعات به نوع رویدادهای انتخاب‌شده و پیکربندی Sysmon بستگی دارد.
Sysmon چه اطلاعاتی از فعالیت‌های سیستم ثبت می‌کند؟
Sysmon اطلاعات متنوعی از فعالیت‌های ویندوز ثبت می‌کند که می‌توانند برای بررسی رفتار برنامه‌ها و شناسایی نشانه‌های مشکوک مفید باشند. نوع اطلاعات به رویداد رخ‌داده و پیکربندی ابزار بستگی دارد.
مهم‌ترین موارد عبارت‌اند از:
- اجرای پردازش‌ها (Process Creation): نام و مسیر برنامه، خط فرمان اجراشده و اطلاعات پردازش والد.
- ارتباطات شبکه (Network Connections): اطلاعاتی مانند آدرس IP، شماره پورت و پردازش مرتبط با اتصال.
- تغییرات فایل (File Creation): ثبت ایجاد فایل‌ها در مسیرهای مشخص.
- فعالیت رجیستری (Registry Events): ثبت برخی تغییرات در کلیدها و مقادیر رجیستری ویندوز.
- بارگذاری درایورها و ماژول‌ها (Driver and Image Loading): ثبت اطلاعات مربوط به بارگذاری درایورها و فایل‌های اجرایی یا کتابخانه‌ها، در رویدادهای پشتیبانی‌شده.
این داده‌ها به‌تنهایی اثبات‌کننده وقوع حمله نیستند؛ اما با بررسی آن‌ها در کنار یکدیگر می‌توان ارتباط میان فعالیت‌ها را بهتر درک کرد. برای مثال، اجرای یک برنامه از مسیری غیرمعمول در کنار برقراری ارتباط با یک آدرس IP ناشناخته، می‌تواند دلیلی برای بررسی بیشتر باشد.
Event ID در Sysmon چیست و چه مفاهیم دیگری باید بشناسیم؟
هر رویدادی که Sysmon ثبت می‌کند، یک شناسه مشخص به نام Event ID دارد. این شناسه نوع فعالیت ثبت‌شده را مشخص می‌کند و به تحلیلگر کمک می‌کند رویداد موردنظر را سریع‌تر پیدا و بررسی کند.
برای مثال، Event ID 1 مربوط به ایجاد یک پردازش جدید (Process Creation) است و اطلاعاتی درباره اجرای برنامه ارائه می‌دهد. Event ID 3 نیز برای ثبت ارتباطات شبکه (Network Connection) استفاده می‌شود؛ البته ثبت این رویداد به تنظیمات پیکربندی Sysmon بستگی دارد.
علاوه بر Event ID، آشنایی با چند اصطلاح دیگر برای درک بهتر گزارش‌های Sysmon ضروری است:
- Process ID (PID): شناسه‌ای که سیستم‌عامل برای شناسایی هر پردازش در حال اجرا اختصاص می‌دهد.
- Parent Process: پردازشی که باعث ایجاد یک پردازش دیگر شده است.
- Image: مسیر فایل اجرایی مرتبط با پردازش.
- Command Line: دستور و آرگومان‌هایی که هنگام اجرای یک برنامه استفاده شده‌اند.
- Event Log: محل ثبت و نگهداری رویدادهای ویندوز که اطلاعات Sysmon نیز در آن ذخیره می‌شود.
شناخت این مفاهیم کمک می‌کند تحلیلگر به‌جای مشاهده یک رویداد به‌صورت جداگانه، جزئیات آن را بررسی کند و ارتباط احتمالی آن با سایر فعالیت‌های سیستم را بهتر تشخیص دهد.
چرا Sysmon برای تحلیلگران SOC اهمیت دارد؟
یکی از چالش‌های تحلیلگر SOC، تشخیص فعالیت‌های مشکوک در میان حجم زیادی از رویدادهای ثبت‌شده در سیستم‌هاست. برای بررسی دقیق یک رخداد، دانستن اینکه چه برنامه‌ای اجرا شده یا چه ارتباطی برقرار شده، همیشه کافی نیست؛ گاهی لازم است مشخص شود این فعالیت چگونه آغاز شده، چه فرایندی آن را اجرا کرده و پس از آن چه اتفاقی افتاده است.
Sysmon با ثبت جزئیات بیشتری از فعالیت‌های ویندوز، به تحلیلگر کمک می‌کند تصویر روشن‌تری از اتفاقات رخ‌داده داشته باشد.
برای مثال، فرض کنید یک هشدار امنیتی درباره اجرای یک برنامه مشکوک روی یک سیستم ویندوزی ایجاد شده است. تحلیلگر می‌تواند با بررسی رویدادهای Sysmon، مسیر اجرای برنامه، پردازش والد و ارتباطات شبکه مرتبط با آن را بررسی کند. کنار هم قرار دادن این اطلاعات ممکن است شواهد بیشتری درباره ماهیت فعالیت فراهم کند و به تصمیم‌گیری درباره ادامه بررسی کمک کند.
نکته مهم این است که Sysmon به‌خودی‌خود تشخیص نمی‌دهد یک فعالیت حتماً مخرب است. ارزش اصلی آن در اطلاعاتی است که برای بررسی و تحلیل در اختیار متخصص امنیت قرار می‌دهد. به همین دلیل، آشنایی با Sysmon برای تحلیلگران SOC اهمیت دارد؛ زیرا توانایی بررسی جزئیات فنی رخدادها را افزایش می‌دهد و به تصمیم‌گیری آگاهانه‌تر در فرایند پاسخ‌گویی به حوادث کمک می‌کند.Sysmon چه جایگاهی در مسیر یادگیری SOC دارد؟
Sysmon یکی از ابزارهای کاربردی برای شناخت بهتر فعالیت‌های سیستم‌عامل ویندوز و بررسی جزئیات رخدادهای امنیتی است. این ابزار با ثبت اطلاعاتی مانند اجرای پردازش‌ها، ارتباطات شبکه و تغییرات رجیستری، به تحلیلگران کمک می‌کند شواهد دقیق‌تری برای بررسی رفتارهای مشکوک در اختیار داشته باشند.
برای افرادی که مسیر یادگیری SOC را دنبال می‌کنند، آشنایی با Sysmon فرصتی برای درک بهتر ساختار رویدادهای ویندوز و نحوه استفاده از آن‌ها در تحلیل امنیتی فراهم می‌کند. یادگیری مفاهیمی مانند Event ID، Process ID و ارتباط میان پردازش‌ها نیز پایه مناسبی برای کار با ابزارهای SIEM مانند Splunk ایجاد می‌کند.
در نهایت، Sysmon به‌تنهایی یک راهکار کامل برای شناسایی حملات نیست، بلکه منبعی ارزشمند از داده‌های امنیتی است که تحلیلگر SOC با بررسی و تفسیر آن‌ها می‌تواند به درک دقیق‌تری از رخدادها برسد.
