System Monitor (Sysmon) – Windows tizim xizmati va qurilma drayveri bo‘lib, tizim qayta yuklanishlari davomida ishlashni davom ettiradi va Windows event logga tizim faoliyatini kuzatib, qayd qiladi. Sysmon jarayon yaratilishi, tarmoq ulanishlari, fayl yaratilish vaqtidagi o‘zgarishlar va boshqa ko‘p narsalar haqida batafsil ma’lumot beradi.

Sysmon’ning asosiy tarkibiy qismlari quyidagilardan iborat:

- Tizim faoliyatini kuzatish uchun Windows xizmati.
- Tizim faoliyati ma’lumotlarini yig‘ishda yordam beruvchi qurilma drayveri.
- Kuzatilgan faoliyat ma’lumotlarini ko‘rsatish uchun event log.

Sysmon’ning noyob imkoniyati shundaki, u odatda Security Event loglarda paydo bo‘lmaydigan ma’lumotlarni qayd qilish imkonini beradi, bu esa uni tizimni chuqur kuzatish va kiberxavfsizlik bo‘yicha sud ekspertizasi (Forensic) tahlili uchun kuchli vositaga aylantiradi.

Sysmon turli xil tizim faoliyatlarini event ID'lar orqali tasniflaydi, har bir ID ma’lum bir event turiga mos keladi. Masalan, Event ID 1 "Process Creation" (jarayon yaratilishi) eventlariga, Event ID 3 esa "Network Connection" (tarmoq ulanishi) eventlariga tegishli. Sysmon event ID'larining to‘liq ro‘yxatini quyidagi link orqali topishingiz mumkin.

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon

Sysmon configuration file: https://github.com/SwiftOnSecurity/sysmon-config

Sysmon For Linux: https://github.com/microsoft/SysmonForLinux


#BlueTeam #Log_Analyse #Sysmon

SIEM Nima?

SIEM (Security Information and Event Management) — bu xavfsizlik yechimi bo'lib, xavfsizlik ma'lumotlarini va voqealarni (Event) boshqarishni birlashtiradi. Bu tizim atrof-muhitda voqealarni real vaqt rejimida yozib olishni o'z ichiga oladi. Voqealarni yozib olishning asosiy maqsadi — xavfsizlik tahdidlarini aniqlashdir.

SIEM mahsulotlarida ko'plab xususiyatlar mavjud. Bizni eng ko'p qiziqtiradigan xususiyatlar — ma'lumotlarni yig'ish (log) va filtrlash, shuningdek, shubhali voqealar uchun ogohlantirishlarni taqdim etishdir.

Example:
Agar biror kishi Windows operatsion tizimida 10 soniya ichida 20 marta noto'g'ri parolni kiritishga urinsa, bu shubhali faoliyat hisoblanadi. Parolni unutgan kishi shuncha qisqa vaqt ichida shuncha marta noto'g'ri parolni kiritishga urinish ehtimoli past. Shu sababli, biz bunday faoliyatni aniqlash uchun SIEM qoidasi(rules)/filtr yaratamiz, agar bunday holat yuz bersa, ogohlantirish (alert) yaratiladi.

#BlueTeam #SIEM #SOC

SOAR (Security Orchestration Automation and Response)

SOAR — bu Security Orchestration Automation and Response iborasining qisqartmasi bo‘lib, muhitdagi xavfsizlik mahsulotlari va vositalarini bir-biri bilan integratsiyalashga imkon beradi. Bu SOC jamoasi a'zolarining vazifalarini soddalashtiradi. Masalan, SOAR SIEM alertidagi manba IP-ni VirusTotal orqali avtomatik ravishda tekshiradi va bu orqali SOC tahlilchisi ish yukini kamaytiradi.

Sanoatda keng qo‘llaniladigan ba'zi SOAR mahsulotlari:

Splunk Phantom
IBM Resilient
Logsign
Demisto

#BlueTeam #SOC #SOAR

Centralization (Kerakli hamma narsa uchun yagona platforma)

SOAR turli xavfsizlik vositalarini (sandbox, loglarni boshqarish, uchinchi tomon vositalari va boshqalar) birlashtiruvchi yagona dasturiy ta'minotni taqdim etadi. Ushbu vositalar SOAR yechimiga integratsiya qilinadi va bitta platformada ishlatilishi mumkin.

Playbooks
SOAR ichida turli vaziyatlar uchun yaratilgan playbooklar yordamida SIEM alertlarini osonlikcha tekshirishingiz mumkin. Agar barcha jarayonlarni bilmasangiz yoki eslay olmasangiz ham, playbooklarda ko‘rsatilgan bosqichlarni bajarib, tahlilni amalga oshirishingiz mumkin.

#BlueTeam #SOC #SOAR

LeakIX — это мощная платформа для поиска и мониторинга утечек данных, которая активно используется специалистами по информационной безопасности и OSINT-исследователями

https://leakix.net/

#OSINT #TOOLS #LEAKIX

29 Addresses to Analyze Malware Faster

Anlyz
Any.run
Comodo Valkyrie
Cuckoo
Hybrid Analysis
Intezer Analyze
SecondWrite Malware Deepview
Jevereg
IObit Cloud
BinaryGuard
BitBlaze
SandDroid
Joe Sandbox
AMAaaS
IRIS-H
Gatewatcher Intelligence
Hatching Triage
InQuest Labs
Manalyzer
SandBlast Analysis
SNDBOX
firmware
opswat
virusade
virustotal
malware config
malware hunter team
virscan
jotti

#BlueTeam #Malware #Analys

Registrlar Windows operatsion tizimlarida ma'lumot saqlash uchun ishlatiladigan ierarxik ma'lumotlar bazalaridir. Ularni hujumchilar ma'lumot o'g'irlash va davomiylikni ta'minlash kabi maqsadlarda ishlatishadi.

Windows operatsion tizimi ishga tushirilganda ishlashi kerak bo'lgan dasturlarni ba'zi registr kalitlarida saqlaydi. Hujumchilar operatsion tizimning bu xususiyatidan foydalanib, o'z zararli dasturlarini bu registr kalitlariga qo'shib, davomiylikni ta'minlashni reja qiladilar.

Ba'zi registr kalitlari quyidagilar:

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

Registrlar normal jarayonlar tomonidan ham ko'p ishlatiladi, shuning uchun ayniqsa zararli dastur(Malware) jarayonlari tomonidan qilingan registr o'zgarishlarini tekshirish kerak.

Zararli dastur registrlarga qilgan o'zgarishlarini aniqlash uchun Regshot nomli dasturdan foydalanishingiz mumkin.

https://sourceforge.net/projects/regshot/

#BlueTeam #SOC #Regedit

Windowsda Startup nomli katalog mavjud. Malware o'zini davomiy ravishda avtomatik ishga tushishini ta'minlash uchun, o'zini Startup katalogiga ham nusxalashi mumkin. Ushbu kataloglarda bajarilgan faoliyatlarga e'tibor qaratish kerak.

Ushbu kataloglarga kirish uchun "Win + R" tugmalarini bosib, keyin quyidagi komandalarni yozishingiz mumkin:

shell:startup
shell:common startup

#BlueTeam #Dynamic_Malware_Analys #Startup

https://habr.com/ru/companies/timeweb/articles/664048/

#OSINT #Geonit

https://docs.remnux.org/install-distro/get-virtual-appliance

Secure sandbox environment REMnux for Dynamic Malware Analys

#BlueTeam #Malware #Analys #Sandbox

Oletools — bu MS OLE2 fayllarini (Structured Storage, Compound File Binary Format) va MS Office hujjatlarini tahlil qilish uchun Python vositalari to‘plami bo‘lib, u zararli dasturlarni tahlil qilish, forensika va debugging uchun ishlatiladi.

https://github.com/decalage2/oletools?tab=readme-ov-file

#BlueTeam #Malware #Analys

#BlueTeam #Splunk

#Recon #Shodan

#Log #Types

#HTB #OSCP

Active Directory Penetration Tester by HTB Academy, 2024