פקודת Get-WinEvent
חלק 4 - Filter

תמלול ההרצאה: פקודת Get-WinEvent חלק 4 - Filter

הטקסט המלא של הדקות הראשונות בהרצאה «פקודת Get-WinEvent חלק 4 - Filter» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם. בהרצאה הזו אנחנו נלמד לעשות פילטר בעזרת XML על Event Viewer, על יומן האירועים של Windows. אנחנו קודם כל מכריזים על משתנה dollar query.

2. 00:15

   יכלנו לתת לו כל שם שרוצים. כותבים את הפילטר שאנחנו רוצים בצורה מסוימת שצריך להכיר אותה, ואז מכניסים את המשתנה הזה לתוך הפקודה של Get-WindowsEvents. אחרי שאנחנו לוקחים את כל האירועים שמתאימים לפילטר, אנחנו עוברים אירוע אירוע, for each object, עוברים שורה שורה, ועבור כל שורה מה אנחנו עושים כאן בדוגמה?

3. 00:41

   שום דבר. רק מדפיסים אותם. היינו יכולים לעשות כל מיני פעולות, הם בחרו רק להדפיס. בואו ננסה לעשות את הדוגמה שלהם ולראות איך זה עובד.

4. 00:51

   קודם כל אני מעתיק את ה-dollar query, נכנס ל-remote desktop בשרת שלהם. התחברתי ב-VPN לשרתים של Hack The Box ועושה דוגמה על השרת שלהם. שימו לב איזה query פה.

5. 01:05

   הוא מסנן רק אירועים מספר שבע, event ID שבע, מתוך יומן של Sysmon, שאירוע מספר שבע זה טעינת DLL ואיזה DLL אנחנו רוצים, mscore.dll ו-clr.dll. זאת אומרת טעינה של .NET.

6. 01:21

   למעשה אנחנו רוצים לקבל אירועים, איזה תוכנות משתמשות ב-.NET, ולבדוק שאין איזושהי תוכנה זדונית, נניח. לעבור שורה שורה ולבדוק שאין תוכנה זדונית. אז זה כמו להיכנס ל-Event Viewer פה בממשק הגרפי.

7. 01:36

   כמובן שזה אותו דבר גם ב-Windows 11, גם ב-Windows 7, גם ב-Windows 8. כל הווינדוסים זה עובד אותו דבר. יש יומן אירועים גם בגרפי וגם ב-PowerShell. אנחנו כרגע מתמקדים ב-PowerShell, אבל חשוב שתזכרו שאפשר להיכנס לזה גם בממשק גרפי.

8. 01:55

   אני כותב מהר Sysmon במקלדת וזה מסמן לי ומוצא לי את התיקייה של Sysmon. פשוט לכתוב מהר במקלדת, והנה אנחנו רואים פה את כל יומן האירועים של Sysmon. בואו נבדוק אם יש עוד יומני אירועים שהם לא פעילים כרגע.

9. 02:11

   אפשר לבוא פה ב-view, ב-show analytics and debug logs, להוסיף עוד יומני אירועים. הנה, הוא מוסיף לי את זה בממשק הגרפי, אבל ב-Sysmon אני לא רואה אותם. כנראה שאין ב-Sysmon עוד יומני אירועים.

10. 02:24

    הנה ב-stop port יש עוד יומני אירועים, אתם רואים? והיומנים האלו הם לא פעילים עד שאני לא אעשה right click enable log. זאת אומרת הוא גם מוחבא וגם לא פעיל.

11. 02:36

    כרגע זה פחות מעניין אותי. בואו נבטל את זה. אתם רואים? הוא החביא את היומנים הלא פעילים, ואנחנו ב-Sysmon פה רואים את כל האירועים, ובמקרה שלנו אנחנו רוצים אירוע מספר שבע.

12. 02:50

    אחד, שלוש עשרה, יש פה הרבה אירועים. אתם רואים? עשרים ושתיים, חמש. מי שרוצה לדעת מה המשמעות של כל אירוע יכול לקרוא על זה כאן למטה או באתר של Microsoft.

13. 03:01

    לדוגמה, חמש זה תוכנה מסתיימת, אחד זה תוכנה מתחילה. כל מיני אירועים. עשרים ושתיים, שאילתת DNS. אז מה אנחנו מחפשים?

14. 03:10

    אנחנו מחפשים אירוע מספר שבע. רוצים לסנן רק את האירוע מספר שבע, ובתוך האירוע מספר שבע לסנן רק את הטעינה של DLL-ים של .NET. חשוב להדגיש שאת היכולת הזאת אי אפשר להשיג בממשק גרפי, כי ממשק גרפי מאוד, מאוד מוגבל.

15. 03:27

    אין לו יכולת לסנן כל מיני דברים כאלו קטנים בתוך אירוע, אז עושים את זה דרך פילטרים ידניים. ונריץ עכשיו את הפקודה Get-WindowsEventFilter ונראה איך זה עובד.

16. 03:40

    מריצים ומקבלים שגיאה. No events were found. אין אירועים שמתאימים לפילטר שלי. קודם כל זה לא שגיאת כתיב, זה לא איזו שגיאה בפקודה.

17. 03:51

    הוא פשוט לא רואה event-ים, no events. זאת אומרת הפילטר לא טוב. בואו ננסה לבדוק מה לא טוב בפילטר שלי. נעשה אותו יותר פשוט. ננסה להוריד את כל ה-andים האלו ולראות רק אירוע מספר שבע.