מעקב אחר הליבה של וונדוס - Kernel
ETW Providers

תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel ETW Providers

הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel ETW Providers» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו נדבר על ספקים, על פרוביידורים למערכת ETW, מי מודיע על אירוע שקרה בתוך הקרנל, בתוך מערכת ההפעלה. הספקים האלו מאוחדים ביחד תחת ריי סשן אחד, לדוגמה Event Log System, הסשן הזה שממנו Event Viewer לוקח את האירועים שלו.

2. 00:24

   הספקים שלו הם LSA, SRV, Microsoft Windows AppLocker, Microsoft Windows Backup, מייקרוסופט ווינדוס ביומטריק כל אלו הם הספקים לסשן שנקרא Event Log System שימו לב שלא כל האירועים שמיוצרים על ידי הספק נניח מייקרוסופט ווינדוס ביומטריק הולכים לתרי סשן הנוכחי למעקב הנוכחי שנקרא

3. 00:47

   Event Log System במעקב הנוכחי לא כל האירועים של הספק הזה מגיעים למה כי מעוניינים רק באירועים מסוימים ואפשר לראות פה את ה-Kewords את הסינון אפשר לעשות Edit ולראות בדיוק מה מסונן ומה עובר אז תסתכלו פה ב-QWords אתם יכולים לראות שלא הכל מעניין את ה-Trade Session הזה הנה

4. 01:09

   שני אלו מעניינים והשלישי לא מעניין עכשיו אנחנו רוצים לדבר איזה ספקים איזה פרוביידרים בכלל קיימים במערכת איך בודקים את הרשימה המלאה של כל הפרוביידורים שזה פה אד כזה איך אפשר לראות את זה בשורת פקודה תסתכלו כמה יש ספקים אז בואו ניכנס ל-PowerShell אני אני עושה Run as Administrator

5. 01:31

   ונתחיל עם פקודת Logman Query Providers. Logman.exe query providers מראה לי את כל הפרוביידרים, את כל הספקים שקיימים בווינדוס שלי. אם אני אתקין עוד תוכנות אני אוכל להוסיף עוד ספקים, זאת אומרת הספק הזה לא חייב להיות לתוך מערכת ההפעלה, זה יכול להיות גם לאפליקציה ספציפית.

6. 01:52

   גם אפליקציה שאני כותב יכולה לספק אירועים למערכת ניטור של ווינדוס, אם היא מערכת ניטור זה כבר עובר הלאה למי שמאזין לה. זאת אומרת המערכת הזאת ניתנת להרחבה על ידי ספקים נוספים.

7. 02:05

   אז אנחנו רואים שלכל ספק יש שם ויש מזהה ייחודי, גוויד. אם לא בא לנו לחפש ידנית אנחנו יכולים להגיד לו בפייפ, להעביר לו את כל הרשימה הזאת בפייפ ולהגיד לו תמצא לי רק אלו שקשורים לשיתופים, ל-SMB.

8. 02:22

   אם אני אעשה פקודה כזאת הוא לוקח את כל הרשימה ומסנן רק שורות שיש בהן מילת smb שיתוף כמו רואים smb client smb server branch cache ואחרים ככה אני מוצא איזה ספק מעניין אותי אם מעניין אותי dns אני יכול גם לעשות פקודה כזאת find str עם dns לראות שיש לי ספק של כל האירועים שקשורים לdns client כנראה שאם אני אתקין שרת dns במחשב הזה אז יהיה לו

9. 02:51

   גם dns server למרות שהווינדוס הזה זה ווינדוס 11 רגיל אז לא נראה לי שאפשר להתקין כאן שרת dns של מייקרוסופט אם אני רוצה להיכנס לעומק נניח לתשאל מה קורה בתוך פרוביידר ספציפי אז אני יכול לעשות בדיקה כזאת בואו נעשה עכשיו בדיקה מי נמצא בתוך פרוביידר של קרנל פרוצס שזה הכי חשוב כל האירועים שקורים בתוך הליבה

10. 03:14

    של הווינדוס שקשורים לפרוצסים תוכנות חדשות