מעקב אחר הליבה של וונדוס - Kernel
סיכום על ETW

תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel סיכום על ETW

הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel סיכום על ETW» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בסרטון זה נסכם את הפרק שמדבר על ETW, מערכת מעקב אחר הווינדוס, המערכת הרשמית שבתוך הווינדוס שלנו, שיודעת לעקוב אחרי הקרנל, אחרי הליבה.

2. 00:16

   אנחנו נראה כל מיני כלים שיודעים להתחבר למערכת הזאת, גם כלים גרפיים וגם כלים של פאוורשל. למעשה ראינו את הפקודה Get Windows Events, ראינו שהמערכת בנויה מספקים שמייצרים את האירועים ומודיעים ל-ETW על מה שקורה.

3. 00:35

   הספקים האלו הם מובנים בתוך Windows, ואנחנו יכולים גם להוסיף ספקים משלנו, לכתוב תוכנות משלנו שגם מספקות לכאן אירועים. בתוך ה-Windows, בתוך-ETW, יש סשנים שאוספים אירועים מכל הספקים, ואז הם שומרים אותם או בקובץ או ב-real time למערכת חיצונית.

4. 00:55

   ראינו שאפשר לעשות logman query ETS ולראות את הטרייסים בזמן אמת. גם ראינו שאיבנט לוג בעצמו משתמש ב-ETW בשביל לשלוף אירועים שקרו בתוך הווינדוס. בלי ETS הוא יראה לנו רק את הביצועים של ווינדוס ולא את המעקב אחרי האירועים.

5. 01:16

   למעשה כל המערכת של מעקב אחרי האירועים זה הרחבה, זה תוספת על מערכת הביצועים שהייתה לפני כן. לקחו את מערכת הביצועים שיודעת מתוך הקרן לשלוף אירועים של ביצועים, כמה המעבד תפוס, כמה הזיכרון תפוס, למערכת הזאת של הביצועים אמרו תעדכני אותנו גם כשקורים כל מיני אירועים והתוספת הזאת זה נקרא ETS ואפשר לעשות query על איזשהו

6. 01:41

   טרס סשן ולראות ממה הוא מורכב מאיזה ספקים הוא מורכב לדוגמה event log system הסשן של המעקב הזה מורכב מספק כזה מספק כזה ומספק כזה זאת אומרת שהטרס הזה אוסף אירועים מכמה ספקים והוא גם לא אוסף את כל האירועים יש לנו פה keywords שמסננים אירועים מסוימים מתוך הספק.

7. 02:04

   לדוגמה, SSMS נראה לי קשור בכלל ל-SQL. בקיצור, יש פה ספקים שאפשר להוסיף אותם עם ההתקנה של תוכנות חדשות. אם אני מוסיף SQL, התוכנה של SQL מוסיפה ספקים משלה למערכת ניטור מרכזית.

8. 02:18

   את כל הספקים אפשר לראות בפקודה Logban Query Providers, זה מה שיש כברירת מחדל. לדוגמה, אצלי במחשב מותקן SQL, אפשר לראות שהsql בקווירי פרוביידרס הוסיף כמה ספקים משלו, ספקי אירועים.

9. 02:34

   זאת אומרת שאם משהו קורה בתוך sql הוא יודע להודיע ל-etw ו-etw כבר מודיע הלאה ל-event log ולמי שצריך. זאת אומרת אני בא להראות לכם שהרשימה הזאת של ספקים ניתנת להרחבה, ספקי אירועים, והנה אצלי יש גם sql.

10. 02:51

    אני גם כמתכנת יכול לכתוב ספק משלי ולחבר אותו למערכת ניטור מרכזית. אז query providers מראה לי את הרשימה הנוכחית שיש במחשב ואפשר לסנן עם פקודת findstr ואפשר לעשות query על ספק מסוים ולראות את כל ה-Qwords שלו, זאת אומרת את כל הסינונים שאפשר לעשות לאירועים שלו, לא לקבל את הכל מספק

11. 03:14

    אלא רק אירועים מסוימים. מבחינה גרפית יש לנו את ה-performance monitor ובפנים יש event trace session. ראינו אותו, זאת תצוגה גרפית שמובנית בווינדוס של כל ה-session ראשונים של מעקב שמופעלים כרגע ובתוך כל סשן יש בפנים כמה ספקים שמביאים את המידע.

12. 03:34

    ראינו גם את הכלי הגרפי ETW Provider זה Open Source, קוד פתוח שחוקר ספק מסוים, ספק אירועים מסוים. כלי גרפי נוח.

13. 03:45

    יש לנו פה דוגמה לספקים שהם ממליצים להשתמש בהם בראש ובראשונה Kernel Process לעקוב אחרי תוכנות חדשות שנפתחות במחשב וDLLים שנטענים. יש גם קרן אלפייל לעקוב אחרי הקבצים ברמה של מערכת ההפעלה לעקוב אחרי נטוורק אחרי תקשורת אחרי שרת שיתופים מי מתחבר ב-SMB ויש פה עוד כל מיני ספקים שיכולים להיות מאוד מעניינים לצורך אבטחת מידע והיתרון

14. 04:13

    הגדול של כל הסיפור הזה שאנחנו עוקבים ברמת מערכת ההפעלה אחרי התוכנה ולא תלויים בדיווח שהתוכנה רוצה או לא רוצה להעביר אנחנו מסתכלים עליה מלמטה והיא לא יכולה להתחמק מאיתנו כי באבנט פיור הרגיל במקור אנחנו תלויים במה התוכנה מדווחת כאן אנחנו רואים אירועים שקורים בתוך הליבה של מערכת ההפעלה

15. 04:36

    בבסיס הזה שכל התוכנות פועלות עליו אנחנו גם יכולים לעקוב אחרי dns גם אחרי מיילוור אנטי וירוס ויש כמה ספקים שהם מוגנים על ידי ppl, ppl זאת מערכת שמובנית בווינדוס ומגבילה את האדמיניסטרטור מלעשות פעולות מסוימות