רשימת כל זמני הכניסות לוונדוס
יומן האירועים - Event Viewer
Get-ChildItem + ForEach-Object + Get-WinEvent עם FilterHashtable על Event ID 4624 שולפים את כל הכניסות המוצלחות מכל הקבצים בתיקייה.system (היוזר המובנה של Windows עצמו, שאין לו סיסמה ולא ניתן להתחבר דרכו מרחוק), ו-Logon Type הוא 5 (לוגין לצורך הרצת שירות, לא לוגין אינטראקטיבי), הכניסה אינה חשודה - זו רק הפעלת שירות או משימה מתוזמנת.פרקי ההרצאה: רשימת כל זמני הכניסות לוונדוס יומן האירועים - Event Viewer
תמלול ההרצאה: רשימת כל זמני הכניסות לוונדוס יומן האירועים - Event Viewer
הטקסט המלא של הדקות הראשונות בהרצאה «רשימת כל זמני הכניסות לוונדוס יומן האירועים - Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם. בסרטון זה נראה האם הייתה כניסה לא חוקית לתוך המערכת, לוגין לא חוקי לאחר LSASS Dump אחרי שגנבו לנו את כל הסיסמאות. זאת אומרת בשאלה הקודמת גילינו איזו תוכנה גנבה לנו את כל הסיסמאות ובאיזה שעה זה קרה.
עכשיו השאלה לגלות האם הייתה מאז כניסה, האם היה לוגין מוצלח לתוך המערכת על ידי משתמש עם כוונות רעות. אז מה אנחנו צריכים לעשות? אנחנו צריכים לגלות באיזה שעה היה LS Dump.
נעשה חזרה קטנה על השאלה הקודמת ואז נעשה חיפוש בתוך הלוגים כאן על הלוגינים שהיו אחרי השעה הזאת למערכת. אז קודם כל בואו נראה באיזה שעה היה לנו Dump.
זאת התשובה לשאלה הקודמת ואנחנו רואים שהDump על ידי Process Hacker נקודה exe היה בשבע אפס שמונה. בואו נראה אם אחרי השעה הזאת בתאריך הזה היו לוגינים למערכת.
מה זה לוגין מוצלח? כבר דיברנו על זה. אירוע מספר ארבע שש שתיים ארבע. ככה Windows מתעד את הלוגין המוצלח. אז מה אנחנו עושים?
אנחנו לוקחים ושולפים את כל הקבצי log מתוך תיקייה מסוימת איפה ששמרו את כל Event-ים, את כל האירועים. עשו right click ב-Event Viewer ועשו Save log.
שמרו את כל הלוג בצד בתיקייה הזאת. אנחנו שולפים רשימה של כל הקבצים של כל הלוגים מהתיקייה ועוברים עם for each אחד אחד. ה-pipe מעביר לנו את הרשימה ב-for each עובר אחד אחד ועבור כל log אנחנו מפעילים פקודת Get-Windows Events שמסננת לנו אירועים מנתיב מסוים.
שימו לב, יש פה path וזה אומר הקובץ הנוכחי, הנתיב הנוכחי ואנחנו גם אומרים לו תפילטר לי רק את האירוע ארבע שש שתיים ארבע במעמד השליפה. בואו נעשה את זה ונראה איזה לוגינים היו לנו.
אנחנו צריכים לזהות לוגין אחרי שבע אפס שמונה ואני רואה שבאמת היה לנו פה לוגין בשבע אפס תשע. אתם רואים שניים ראשונים, שניים אחרונים היו בשבע אפס תשע ואני צריך לבדוק האם זה משהו חשוד.
האם זה user זדוני שנכנס לנו למערכת או שזה משהו של המערכת עצמה של System. לדוגמה service יכול להיות מופעל או כל מיני דברים אחרים. מי זה ארבע שש שתיים ארבע?
מי זה הלוגין המוצלח הזה שנכנס לנו למערכת? אז אני מתמקד בשני אירועים אחרונים ושולף רק