תרגיל על שאילתות XML
יומן האירועים - Event Viewer
and עם תנאי על Logon ID. את הסינטקס אפשר למצוא בגוגל או בעזרת ChatGPT.t-worker.exe, וזו תשובת התרגיל הראשונה.object name, הקורבן, עם תנאי נוסף ב-XPath בצורה של שם שדה שווה לערך. נשארת שורה אחת, והזמן הוא 10:23:50.פרקי ההרצאה: תרגיל על שאילתות XML יומן האירועים - Event Viewer
תמלול ההרצאה: תרגיל על שאילתות XML יומן האירועים - Event Viewer
הטקסט המלא של הדקות הראשונות בהרצאה «תרגיל על שאילתות XML יומן האירועים - Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בסרטון זה נעשה תרגיל על סינון אירועים ב-Event Viewer על ידי XML. אנחנו נתחיל לסנן באופן ידני ולכתוב שאילתות מאוד מאוד מתקדמות בשביל לחקור מה קרה בשעה 10.23 בתאריך כזה וכזה, כי מישהו עשה לוגין מוצלח, ואחרי שמישהו כאן עשה לוגין מוצלח, הוא שינה הרשאות של מערכת תיעוד.
עכשיו אנחנו רוצים לגלות איזה תוכנה שינתה את ההרשאות, מי זה האקזה הזה, מי זה קובץ ההרצאה הזה, וצריך למצוא את השם שלו, ונותנים לנו רמז שהוא מתחיל ב-o t, אחרי זה יש משהו, אחרי זה w נקודה אקזה.
אז קובץ ההרצאה הזה הופעל, שינה הרשאות של מערכת תיעוד, שזה לא תקין, כי אף אחד לא אמור לשנות את התיעוד, מה לתעד ואיך לתעד, זה התפקיד שלנו, שום תוכנה לא אמורה לשנות את זה ואנחנו רוצים לגלות איזה תוכנה עשתה את זה ואנחנו מתחילים את החקירה מהלוגין שלה.
4624 זה אירוע של לוגין מוצלח שקרה בתאריך כזה וכזה. אז בואו נתחיל את החקירה, נראה מי עשה לוגין, אחרי זה נראה מה הוא הפעיל ואחרי זה נגלה איזה קובץ מכל הקבצים שהוא הפעיל שינה את ההרשאות.
למעשה זאת תוכנה זדונית, זה האקזה הזדוני שמשנה את מערכת תיעוד כדי שלא נוכל לעלות עליו ועל המעשים שלו. למעשה מערכת תיעוד תיעדה את שינוי ההרשאות. מרגע שההרשאות משתנות, מערכת תיעוד מפסיקה לתעד.
זה למעשה האירוע האחרון שהיא תיעדה ואנחנו רוצים לדעת מי זה האקזה הרשע הזה. יצרתי פה מכונה וירטואלית אצלם בענן לתרגול, יש לנו 101 דקות לתרגל את זה, אחרי זה היא טרמינייט, היא מחוסלת.
בואו נתחבר ל-IP הזה מתוך הווינדוס, אני בא לווינדוס, מתחבר ב-VPN לתוך הרשת הפנימית שלהם, OpenVPN מחבר אותי ואני מקבל כתובת IP פנימית שם, אני בתוך הלאנד שלהם, ועכשיו אני יכול לעשות רימור דסקטופ ולהתחבר לתוך המכונה הווירטואלית לתרגול בענן שלהם,
אני מתחבר פנימה דרך VPN, אפשר לראות שאין לי ייצא על האינטרנט, הם עשו מכונה וירטואלית ברשת סגורה, שלא נוכל לנצל אותם לרעה, אין פה אינטרנט ואנחנו נכנסים ב-right-click ל-event viewer והולכים ליומן של security ומתחילים לעשות סינון כי יש כאן 8,969 אירועים ואנחנו לא רוצים לעבור ידנית על כל 8,000 אירועים ולהתחיל לסנן את זה ידנית אנחנו עושים right-click פילטר מסננים קודם כל לפי
event ID מספר אירוע שמספר האירוע זה 4624 לוגין מוצלח אני כותב 4624 אם הייתי רוצה עוד אירוע הייתי יכול לעשות פסיק ולעשות 46 נניח 25 ואז הוא היה מראה לי גם אירועים 4624 וגם 4625 מה המשמעות של המספר הזה זה כמובן תלוי ביצרן כל מתכנת קובע לעצמו מה המשמעות של אירוע מספר כזה וכזה בתוכנה שלו במקרה שלנו בווינדוס
4624 צריך להיות לוגין מוצלח ואנחנו רואים כאן אכן המון המון אירועים 4624 ושימו לב אין שום דבר אחר כי סיננו ומתוך 8900 אירועים שיש לנו מוצגים רק 1000 אבל גם ה-1000 הזה זה יותר מדי בואו נסנן לפי שעה במקום לחפש פה ידנית את השעה הנכונה ואת התאריך הנכון אפשר למצוא את זה ידנית אבל זה ייקח זמן אנחנו רוצים ללמוד איך
לסנן נכון את התוצאות. ניכנס לפילטר ונסנן פה למעלה לפי זמן. נלך ל-Custom Range, טווח ידני, לשעה מדויקת, ונגיד שהאירוע קרה בתאריך מסוים.
זה התאריך וזאת השעה. אני מקליד את זה פה, שהאירוע התחיל בתאריך כזה וכזה, בשעה כזאת וכזאת, וגם הסתיים בדיוק באותו תאריך.
המטרה שלי זה כמה שיותר לסנן, להגיע לנקודה הנכונה. אני עושה אוקיי, הנה הטווח למעלה של השעות, ויראו ה-4624 של הלוגין המוצלח. ואכן, יש לי רק שורה אחת, רק תוצאה אחת, ואני רואה מי עשה לוגין.
אנחנו פה למטה רואים את הפירוט. אם זה לא נוח לנו, אפשר לעשות דאבל קליק ולראות אותו דבר בחלון נפרד. ואנחנו רואים שזה בכלל סיסטם. סיסטם זה יוזר מובנה של הווינדוס עצמו, שאיתו הווינדוס מפעיל את הסרוויסים, את התוכנות שרצות ברקע ונדלקות אוטומט, מופעלות אוטומט עם ההדלקה של המחשב.
אז זה יכול להיות סרוויס, או לחלופין זה יכול להיות משימה מתוזמנת. גם משימה מתוזמנת מופעלת עם היוזר הזה, סביר להניח שזה סרוויס. והסרוויס הזה כשהוא הופעל הוא קיבל סשן איי-די מספר חיבור כזה וכזה.
ביוזר רגיל, נניח אם זה היה יוני, יוסי, אחרי הלוגין הוא היה מקבל איזשהו מספר סשן ועד שלא עושים ריסטארט או לוגוף זה מספר הסשן שכרגע מופעל שאיתו היוזר עובד כל ריסטארט יורסי או יוני מקבל סשן איי-די חדש אבל במקרה של סיסטם זה תמיד אותו סשן איי-די כנראה בגלל שהוא עולה תמיד ראשון אז הוא מקבל תמיד אותו סשן איי-די בקיצור צריך לבדוק מה היוזר
הזה עשה אחרי הלוגין זאת אומרת הוא נכנס למערכת בשעה כזאת וכזאת ומה הוא עשה כי יש פה חשד שהוא הפעיל איזושהי תוכנה ששינתה הרשאות וצריך לגלות איזה תוכנה הוא הפעיל טוב בואו נראה מה הוא עשה אחרי הלוגין שלו נעקוב אחרי הפעולות שלו אחרי הלוגין זאת אומרת אני הפעם רוצה לסנן בפילטר כאן לא לפי אירוע 4624 אלא כל
האירועים שעשה אותו יוזר בסשן אז אני מוריד את האיבנט של לוגין מוצלח כי אני רוצה את כל מה שהוא עשה ולא רק לוגין. התאריך, בואו נשנה אותו לאיזה דקה או שתיים, בואו נראה מה הוא עשה נניח בדקה הראשונה, כי לרוב התוכנות הזדוניות מתחילות לפעול מהר.
אז אנחנו אומרים לו לסנן לפי שעה כזאת וכזאת את כל האירועים שקרו, אבל זה לא מספיק טוב לי כי אני רוצה סשן מסוים, אני לא רוצה את כל היוזרים שהיו במערכת בשעה הזאת, אלא רק לעקוב אחרי יוזר ספציפי שנכנס למערכת.
אז אני חייב ללכת ל-XML ידני כי אין פה את האופציה לסנן לפי סשן. אני הולך פה ל-XML, אומר לו אני עובר למצב ידני, הוא אומר לי אתה לא תוכל לחזור למצב גרפי כי זה מצב ידני.
שימו לב מה הוא עשה לי פה, הוא כתב לי באופן אוטומט את השאילתה שהייתה בממשק הגרפי שמסננת לפי טיים, לפי תאריך, ואני רואה פה שזה בדיוק מה שהגדרתי לו מדקה 23 עד דקה 24, משאיר את הסינון שהוא עשה לפי שעה זה מספיק טוב לי ומוסיף סינון נוסף עושה end ומסנן גם לפי לוגון ID לפי מספר סשן סשן זה שיחה
של יוזר עם המחשב יוזר עשה לוגין קיבל מספר שיחה ועד שהוא לא יעשה ריסטארט או לוגוף הוא ימשיך לעשות את כל הפעולות בתוך הסשן שלו בתוך החיבור הנוכחי שלו ואני אומר תסנן לי את כל האירועים גם לפי תאריך וגם לפי סשן מספר כזה וכזה ועכשיו אנחנו נראה את כל האירועים שעשה אותו יוזר בין הדקה הזאת לדקה הזאת.
שימו לב, כתבתי פה end בסינון נוסף. דרך אגב, מאיפה הבאתי את השורה הזאתי? הבאתי אותה מגוגל. בדקתי בגוגל איך מסננים לפי סשן איי-די. אפשר גם בצ'אט gpt להיעזר.
והנה אנחנו רואים פה את כל האירועים שקרו מסודרים לפי שעה. אני יורד הכי למטה. האירוע הראשון זה היה הלוגין המוצלח.
בעצם השורה הראשונה עם הסשן איי-די הזה. אחרי זה הוא עשה ספיישל לוגון. ספיישל לוגון זה אומר שהוא ביקש הרשאות נוספות. פריביליג'ס, הרשאות על מערכת ההפעלה. זה אומר, עשה רנס אדמיניסטרטור.
הביץ תוכנה עם הרשאות גבוהות. ומה היה הלאה? אודיטינג פוליסי צ'יינג' או שינוי של מדיניות אודיטינג. אודיטינג זה תיעוד 4907, זה בדיוק מה שחיפשנו.
בואו נראה מה קרה כאן. אני רואה פה שהיה שינוי על אובייקט כזה וכזה ומי שעשה את זה זה t-worker.exe זה בדיוק