Osquery สำหรับ Blue Teamers

Dec 22 2022

Osquery เป็นแพลตฟอร์มการรักษาความปลอดภัยปลายทางแบบโอเพ่นซอร์สที่ให้คุณตรวจสอบและสอบถามระบบของคุณโดยใช้ไวยากรณ์ที่เหมือน SQL ได้รับการพัฒนาโดย Facebook และถูกใช้โดยบริษัทและองค์กรต่างๆ ทั่วโลกเพื่อรักษาความปลอดภัยเครือข่ายและระบบของตน

หนึ่งในคุณสมบัติที่สำคัญของ Osquery คือความสามารถในการตรวจสอบและวิเคราะห์ระบบของคุณตามเวลาจริง ให้มุมมองที่เป็นหนึ่งเดียวของโครงสร้างพื้นฐานทั้งหมดของคุณ และช่วยให้คุณระบุและตอบสนองต่อภัยคุกคามความปลอดภัยและความผิดปกติได้อย่างรวดเร็ว

สามารถใช้ Osquery เพื่อตรวจสอบลักษณะต่างๆ ของระบบของคุณ รวมถึง:

ความสมบูรณ์ของไฟล์: Osquery สามารถตรวจจับการเปลี่ยนแปลงของไฟล์ระบบที่สำคัญ แจ้งเตือนคุณถึงการปลอมแปลงหรือการติดมัลแวร์ที่อาจเกิดขึ้น
กิจกรรมเครือข่าย: Osquery สามารถตรวจสอบการเชื่อมต่อเครือข่ายขาเข้าและขาออก ทำให้คุณสามารถตรวจจับและตอบสนองต่อการโจมตีที่อาจเกิดขึ้นหรือการเข้าถึงโดยไม่ได้รับอนุญาต
กิจกรรมกระบวนการ: Osquery สามารถติดตามกระบวนการที่ทำงานบนระบบของคุณ แจ้งเตือนคุณถึงกิจกรรมที่น่าสงสัยหรือเป็นอันตราย
การกำหนดค่าระบบ: Osquery สามารถรวบรวมและรายงานเกี่ยวกับการกำหนดค่าระบบ ช่วยให้คุณมั่นใจได้ว่าระบบของคุณได้รับการกำหนดค่าอย่างปลอดภัยและสม่ำเสมอ

การติดตั้ง:

สามารถใช้ Osquery เพื่อสำรวจระบบปฏิบัติการต่างๆ เช่น Windows, Linux และ Mac โปรดดาวน์โหลดเวอร์ชันใดก็ได้ที่คุณต้องการจากที่นี่ในกรณีของฉันฉันได้ดาวน์โหลดและติดตั้งสำหรับ windows แล้ว

หลังการติดตั้ง ให้เริ่ม Powershell ในฐานะผู้ดูแลระบบ > นำทางไปยังเส้นทางดาวน์โหลด Osquery > เริ่มการทำงานของ osquery ด้วย .\osqueryi.exe

เนื่องจากเราเพิ่งเริ่มต้น ลองพิมพ์ .help และตรวจสอบว่า Osquery มีฟังก์ชันอะไรบ้าง:

สำรวจตารางบน Windows:

ลองสำรวจตารางโดยพิมพ์.tablesซึ่งจะแสดงรายการฟังก์ชันของระบบปฏิบัติการ จากนั้นเราจะสอบถามบางส่วนเพื่อดึงข้อมูลที่เป็นไปได้จากเครื่องที่ได้รับผลกระทบ

ตามที่เห็นด้านบน osquery ได้สอบถามรายการตารางบนระบบปฏิบัติการ เรามาดูรายละเอียดที่ซับซ้อนจากตารางที่น่าสนใจเพื่อสืบค้นเพิ่มเติม:

รายชื่อผู้ใช้งาน:

คำสั่งเลือก * จากผู้ใช้; จะอนุญาตให้มีการแจงนับผู้ใช้ทั้งหมดที่อยู่ในเครื่อง เราสามารถค้นหา UID & GID ที่เป็นไปได้เพิ่มเติมสำหรับสิทธิ์ของผู้ใช้ และตรวจสอบผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบ

คำสั่งที่เลือก Count(*) จากผู้ใช้จะทำให้เราทราบจำนวนสถิติของบัญชีผู้ใช้ที่สร้างขึ้นในเครื่องนี้

ในการดึง UID เราใช้คำสั่งเลือก UID จากผู้ใช้

รายการกระบวนการ:

ในการเกณฑ์กระบวนการทั้งหมดที่ทำงานบนระบบ เราใช้คำสั่งselect * จากกระบวนการ

โปรดทราบว่าฉันใช้ขีดจำกัด 5 เพื่อจำกัดผลลัพธ์เพื่อแสดงกระบวนการ 5 อันดับแรก เนื่องจากกระบวนการจำนวนมากกำลังทำงานบนเครื่องของฉัน

เราสามารถกรองผลลัพธ์เพื่อค้นหานักแสดงที่ไม่ดี

มาสร้างคิวรีเพื่อรับชื่อผู้ใช้และกระบวนการที่เกี่ยวข้องที่ดำเนินการโดยพวกเขา:

โปรดทราบว่าหากคุณต้องการเรียกใช้แบบสอบถามดังกล่าว คุณควรคุ้นเคยกับพื้นฐานของ SQL

การเชื่อมต่อเครือข่ายของกระบวนการที่ใช้งานอยู่:

เราสามารถตรวจสอบซ็อกเก็ตเครือข่ายที่น่าสงสัยและค้นหาการเชื่อมต่อที่สร้างจากที่อยู่ IP ในเครื่องไปยังระยะไกล มาสำรวจตารางกระบวนการของ windows ก่อน:

ตอนนี้ให้ค้นหา ตาราง process_open_socketsและตรวจสอบ:

ลองกรองผลลัพธ์เพื่อดูการเชื่อมต่อทั้งหมดที่สร้างขึ้น

ตอนนี้เราสามารถตรวจสอบที่อยู่ IP ภายนอกผ่าน Threat Intelligence Tools เพื่อดูว่ามีที่อยู่ IP ที่เป็นอันตรายซึ่งมีการเชื่อมต่อขาออกหรือไม่

การตรวจสอบไฟล์:

ในการตรวจสอบไฟล์ที่น่าสงสัยที่มีอยู่ในระบบ เราสามารถใช้คำสั่งต่อไปนี้:

โปรดทราบกฎสัญลักษณ์ตัวแทนต่อไปนี้เมื่อต้องสร้างข้อความค้นหา:

จับคู่กฎไวด์การ์ด

%: จับคู่ไฟล์และโฟลเดอร์ทั้งหมดในระดับหนึ่ง
%%: จับคู่ไฟล์และโฟลเดอร์ทั้งหมดแบบเรียกซ้ำ
%abc: จับคู่ทั้งหมดภายในระดับที่ลงท้ายด้วย "abc"
abc%: จับคู่ทั้งหมดภายในระดับที่เริ่มต้นด้วย "abc"

เราสามารถตรวจสอบการแก้ไขค่าคีย์รีจิสทรีที่น่าสงสัยและค้นหาสิ่งประดิษฐ์ที่น่าสนใจ การเตรียมแบบสอบถามจะช่วยประหยัดเวลาในการตอบสนองเหตุการณ์ของคุณ และคุณจะได้ทราบถึงการคงอยู่ของมัลแวร์ในรีจิสทรี

ข้อความค้นหาที่ใช้ด้านบนคือเลือกข้อมูล เส้นทางจากรีจิสทรีโดยที่คีย์ = 'HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders';

มัลแวร์เริ่มต้นเมื่อบูต

เราสามารถตรวจสอบกระบวนการของ Windows ที่เริ่มต้นเมื่อบูตเป็นพฤติกรรมการคงอยู่ของมัลแวร์ โดยการตรวจจับกิจกรรมที่เป็นอันตรายดังกล่าว เราสามารถดำเนินการขั้นตอนต่อไป เช่น การแยกเครื่องออกจากเครือข่าย และทำการวิเคราะห์ทางนิติวิทยาศาสตร์ที่เป็นไปได้เพิ่มเติมสำหรับสาเหตุที่แท้จริง

คำสั่ง OSquery ที่ใช้ด้านบนคือเลือก * จากบริการโดยที่ start_type='DEMAND_START' จำกัดไว้ที่ 2;

โดยรวมแล้ว Osquery เป็นเครื่องมือที่มีค่าสำหรับทุกคนที่รับผิดชอบด้านความปลอดภัยของระบบ การตรวจสอบตามเวลาจริงและความสามารถในการสืบค้นที่ทรงพลังทำให้เป็นแพลตฟอร์มที่หลากหลายและมีประสิทธิภาพสำหรับการตรวจจับและตอบสนองต่อภัยคุกคามความปลอดภัยและความผิดปกติ