הסבר על יומן האירועים של וונדוס
Event Viewer
פרקי ההרצאה: הסבר על יומן האירועים של וונדוס Event Viewer
תמלול ההרצאה: הסבר על יומן האירועים של וונדוס Event Viewer
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על יומן האירועים של וונדוס Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזו אנחנו מתחילים את הפרק על לוגים של Windows. זה המודול השלישי בקורס של SOC, SOC Analyst, ואנחנו במודול השלישי על לוגים של Windows.
אנחנו ממש נרד לעומק. זה מודול ברמת מדיום, בדרגת קושי בינונית, לא כמו המודולים הקודמים שהיו די איזי, די פשוטים. אנחנו עולים לרמת מדיום ומתחילים את המודול של EventLog.
במודול הזה הם מספרים לנו שיש מערכת שנקראת ETW Event Tracing Windows. זאת מערכת תיעוד שמובנית בתוך הקרנל, בתוך מערכת ליבה של הווינדוס עצמו, ויודעת לתעד הכל.
והיא מחלקת את האירועים לקבוצות, ליומנים שונים. יש קבוצה שנקראת אפליקיישן, שזה כל האפליקציות, כל התוכנות רושמות לשם את האירועים שלהם.
יש קבוצה או יומן שנקרא סיסטם, שזה יומן האירועים של מערכת ההפעלה עצמה, של הווינדוס עצמו. נניח ווינדוס עבר עדכון, ווינדוס לא הצליח לקבל כתובת IP, כאלו דברים.
ויש סיקיוריטי, כל מה שקשור לאירועי אבטחה. והאמת, יש הרבה יותר קבוצות, הרבה יותר יומנים, וכל מי שכותב תוכנה יכול לתעד את האירועים של התוכנה שלו בתוך יומן האירועים של הווינדוס.
אנחנו הולכים ממש להיכנס לעומק של יומן האירועים והאבנט ויואר הכלי הזה הגרפי הוא מראה לנו את האירועים מתוך כל היומנים אבל אנחנו לא חייבים להשתמש באפליקציה המובנית בווינדוס אנחנו יכולים גם לכתוב שאילתות לבד ולפנות לבד ל-API לממשק תכנותי של יומן האירועים הזה של ETW זאת אומרת שמערכת של ETW שזה Event טרייסינג פור ווינדוס
מערכת שעוקבת אחרי אירועים אפשר לדבר איתה בכמה צורות צורה אחת עם כלי הגרפי שמובנה בווינדוס בצורה אחרת דרך api ה api מאפשר לכתוב כלים משלנו ולא להרגיש מוגבלים לכלי הגרפי שמובנה בווינדוס פה הם מראים לנו איך נראה הכלי הגרפי event viewer איך לפתוח אותו ואיך נראים היומנים שימו לב שביומן applications יומן
האירועים של אפליקציות יש 1700 אירועים שהרישום שלהם תופס 4 מגה, יומן של security יש בו 21,000 אירועים ויש עוד כמה יומנים כמו יומן ההתקנות ויומן של מערכת הפעלה עצמה ויש כאן יומן מאוד מאוד מעניין שנקרא forwarded events, אירועים שהגיעו ממחשבים אחרים, בווינדוס אפשר לשלוח את האירועים המקומיים לשרת המרוחק
ואז בשרת טעו לרכז את כל האירועים אז forwarded events זה אירועים שהגיעו לווינדוס שלי ממערכות אחרות מווינדוסים אחרים בוא נראה את זה קורה באמצעיות אנחנו באים לווינדוס לוחצים כפתור ימני ויש לנו פה event viewer יומן האירועים אני אוהב לעשות עם הכפתור הימני eventviewer אבל הדרך הרשמית זה לעשות התחל לכתוב eventviewer
ולפתוח אותו פה דרך התחל בוא נפתח אותו ככה הוא נראה יש לנו פה custom views זה מבט משלנו על כל האירועים אנחנו יכולים לעשות פה right click create custom view לסנן מתוך אלפי אירועים שיש את מה שמעניין אותנו ואנחנו הולכים לעשות את זה בקרוב זה מייצר לנו view מבט כזה רק עם האירועים הרלוונטיים בשבילנו יש לנו פה
יומנים שהם חלק מווינדוס כבר מעל 30 שנה כמו יומן האפליקיישנס ושימו לב זה לא רק דברים רעים יש פה מידע אינפורמטיבי, סתם, שקרה די-פראג בדיסק, שהוא עשה אופטימיזציה של בלוקים בדיסק, הזיז אותם שמאלה ימינה ועשה אופטימיזציה, שהדיסק יעבוד יותר מהר. האמת שהיום זה כבר לא רלוונטי, פעם זה היה ממש חשוב.
ויש פה כל מיני אירועים כמו VSS, Services Shutting Down, זה השירות של Shadow Copy. ביומן אירועים נרשמים המון המון דברים, ואתם רואים כל שנייה משהו נרשם.
שימו לב, זה יכול להיות ברמת אינפורמיישן, זה יכול להיות ברמת וורנינג, אירוע שהוא וורנינג, אזהרה, ויכול להיות גם אירוע קריטיקל אדום, דרגות חומרה שונות.
עכשיו, מי קובע את הדרגת חומרה? זה למעשה מי שתכנת את אותה התוכנה. זה לא רק דברים של ווינדוס עצמו, פה זה כל האפליקציות. אז אני יכול לכתוב אפליקציה משלי, והאפליקציה שמה את האירועים שלה ביומן האירועים.
ואם קורה משהו אני בא ואני בודק מה קרה באפליקציה, על מה היא ניסתה להתריע לי. כי רוב האפליקציות עובדות בשרתים ואין מישהו שיושב ומסתכל על השרת.
אז זה שהאפליקציה תקפיץ איזושהי הודעה על המסך זה לא יעזור לאף אחד, כי אף אחד לא מסתכל על המסך. כי שרת עומד באיזשהו חדר שרתים ואין שם אפילו מסך.
אז אין טעם להקפיץ הודעה על המסך בשרת, אז שמים אותה ביומן האירועים. באחריותו של מנהל הרשת לשלוף את האירועים מתוך היומן. בואו נתקדם ליומן של סיקיוריטי, גם כאן יש לנו יומן אירועים שכותב האם הוא הצליח לתעד איזשהו אירוע?
מישהו קרא שם והסיסמה מתוך credential manager, מתוך מנהל הסיסמאות של Windows. אתם אולי לא מכירים, אבל ב-Windows יש credentials manager, מנהל הסיסמאות, ובתוכו שמורות כל הסיסמאות שלכם לאתרי web שעשיתם בדפדפן או לכל מיני שרתים שהתחברתם אליהם, כאן הוא שומר את הסיסמאות ויש פה תיעוד של קריאה של
הסיסמאות האלו, אז שוב תראו כמה יש אירועים, אם אנחנו נעמוד על הקבוצה הראשית אנחנו נראה את הטבלה הזאת שאומרת כמה אירועים יש לנו בכל אחד מהיומנים ומה שמעניין אותנו הכי הרבה זה יומן של סיקיוריטי, ביומן של סיקיוריטי כל אירועי אבטחה קורים ונעשה פה רייט קליק פילטר, נסנן אירועים, יותר מזה, אנחנו יכולים גם לעשות טאסקים,
משימות, שהווינדוס יפעיל כשקורה איזשהו אירוע מסוים, ואנחנו גם יכולים לשמור את כל היומן הזה בצד בקובץ, כדי להעביר אותו למחשב אחר או לחקור אחרי זה, זאת אומרת, אני יכול לעשות save all events as, ולשים פה בשולחן העבודה איזשהו אירוע, אינסדנט,
שקרה נניח בראשון לראשון 2024. אז אני שומר את הקובץ הזה, אינסדנט ראשון לראשון 2024 בדסקטופ והנה הקובץ אני יכול לעשות עליו דאבל קליק ולפתוח אותו ולחקור את כל האירועים שהיו לעבור על כל האירועים וזה מה שהם בעצם מספרים כאן על כל היומנים האלו ועל זה שאפשר לשמור את הלוגים בצד ואחרי
זה לפתוח אותם אתם רואים יש לנו קובץ ששמרנו בצד ואז פתחנו כי לא תמיד יש לנו זמן לחקור הכל על המכונה שנפגעה בזמן אמת הרבה הרבה פעמים נרצה לקחת דברים הצידה ולחקור בזמננו הפנוי במכונה וירטואלית, ועכשיו הם נכנסים לאנטומיה של EventLog, זאת אומרת לקרביים שלו.
מספרים שיש לנו דרגות שונות של חומרה, אינפורמיישן, איירור, יש גם וורנינג. נותנים פה דוגמה לאיזשהו איירור, ויש לנו פה שדות, בתוך כל אירוע יש שדה, לאיזה לוג הוא שייך, מי ה-source, מי המקור, איזו אפליקציה יצרה אותו, מה מספר האירוע בתוך אותה אפליקציה, נניח תקלה
מספר 35. מה המשמעות של ה-35? צריך ללכת ליצרן של אותה אפליקציה ולשאול אותו מה זה אומר תקלה 35 אצלך. תזכרו שזה נרשם על ידי מתכנת שרצה להתריע על משהו.
למה הוא התכוון? על מה הוא רצה להתריע כבר צריך לדבר איתו או לחפש בגוגל. יש גם איזה יוזר עשה את התקלה הזאת. יש לנו כמובן את השעה, קטגוריה keywords מילות מפתח לחיפוש לסינון נוסף וטקסט חופשי שמופיע בתוך האבנט כאן הם מסבירים את כל השדות מה שמעניין שאפשר לעבור לטאב אחר לדיטלס ולראות הרבה יותר מידע והוא מסודר לפי שדות או בxml או במבט יותר נוח אבל כאן בדיטלס יש יותר פרטים מאשר בג'נרל
שימו בג'נרל, יש פה רק מספר מצומצם של שדות ומקום לטקסט חופשי. אם יש יותר מידע, יותר שדות, זה ב-XML הזה. לדוגמה, אנחנו יכולים לגלות מיהו Process ID, מיהו התהליך, איזה תוכנה במחשב הפעילה את האירוע הזה.