جهازك قد يكشف تفاصيل الاختراق في سجلاته.. لكن هل تعرف أين تبحث؟
يحتاج إلى فهم أنظمة التشغيل من الداخل، لأن المهاجمين غالبًا ما يستغلون العمليات والخدمات والحسابات والملفات لتنفيذ أنشطتهم وإخفاء آثارهم.
في بيئة Windows، يجب التعرف على )، وسجل النظام (Windows Registry)، وكيفية بدء البرامج وتشغيلها تلقائيًا.
ومن أهم مصادر الأدلة سجلات أحداث Windows، التي تسجل أنشطة متنوعة مثل تسجيل الدخول، وإنشاء الحسابات، وتشغيل بعض العمليات، وتغييرات النظام.
تأتي أداة Sysmon لتضيف تفاصيل مهمة حول نشاط الجهاز، مثل إنشاء العمليات والاتصالات الشبكية وبعض أحداث الملفات، مما يساعد المحلل على تتبع سلوك البرامج المشبوهة. ويمكن إرسال هذه الأحداث إلى منصة مركزية لتحليلها.
أما في Linux، فيجب فهم نظام الملفات، والمستخدمين والمجموعات، والصلاحيات، والخدمات، وعمليات المصادقة.
وتُعد سجلات النظام ومصادقة المستخدمين مصدرًا مهمًا لمعرفة محاولات الدخول الفاشلة، والتغييرات غير المعتادة، وتشغيل أوامر بصلاحيات مرتفعة. كما تساعد أداة Auditd على تسجيل ومراجعة الأنشطة المحددة داخل النظام.
مثال تطبيقي: تخيل ظهور عملية غير معروفة تعمل تحت حساب مستخدم عادي، ثم تبدأ في إنشاء اتصالات خارجية. يستطيع المحلل مراجعة اسم العملية والبرنامج الأب وسطر الأوامر وتوقيت التشغيل، ثم ربط هذه البيانات مع سجلات الشبكة لمعرفة ما إذا كان النشاط ضارًا.
كيف تتدرب؟ أنشئ جهاز Windows افتراضيًا وثبّت Sysmon، ثم أنشئ بعض الأنشطة التجريبية وراقب الأحداث الناتجة. كرر التجربة على Linux مع مراجعة سجلات المصادقة واستخدام Auditd.
كلما فهمت السلوك الطبيعي لأنظمة التشغيل، أصبحت الأنشطة غير الطبيعية.
المصادر:
Microsoft Sysmon Documentation: learn.microsoft.com
Microsoft Sysmon Overview: learn.microsoft.com
Linux Audit Documentation: linux.die.net
26 مشاهدة