جمع سجلات تدقيق سطر الأوامر
الوصف
جمع سجلات تدقيق سطر الأوامر. تتضمن تطبيقات المثال جمع سجلات التدقيق من PowerShell و BASH و أدوات سطر الأوامر الطرفية البعيدة.
قائمة التحقق من التطبيق
توصيات الأدوات
منصة إدارة معلومات وأحداث الأمان مع إدارة السجلات واكتشاف التهديدات والتحقيق وإعداد تقارير الامتثال عبر مصادر بيانات المؤسسة
Cisco (Splunk) · قائم على حجم البيانات المستوعبة أو حجم العمل
منصة سحابية أصلية لإدارة معلومات وأحداث الأمان والاستجابة الآلية للتهديدات مع تحليلات مدعومة بالذكاء الاصطناعي واستجابة آلية للتهديدات وتكامل أصلي مع بيئة السحابة
Microsoft · الدفع حسب الاستخدام (لكل غيغابايت مستوعبة)
منصة عالية الأداء لإدارة السجلات والمراقبة مصممة للبيانات بحجم بيتابايت مع البحث في الوقت الفعلي
CrowdStrike · اشتراك لكل غيغابايت
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
تهرب هجوم استخدام أدوات النظام المدمجة
السريةيستخدم المهاجمون أدوات نظام التشغيل المدمجة مثل PowerShell وcmd.exe وbash وWMI لتنفيذ أوامر خبيثة تمتزج مع النشاط الإداري العادي، وبدون تسجيل سطر الأوامر لا تترك هذه الهجمات بدون ملفات أي أثر للكشف أو الطب الشرعي.
تنفيذ حمولة PowerShell مموهة
السلامةتُنفذ نصوص PowerShell الخبيثة باستخدام أوامر مشفرة وتقنيات تجاوز AMSI وتحميل الوحدات على نقاط النهاية بدون أي سجل للأوامر الفعلية المنفذة، مما يمنع كشف جمع بيانات الاعتماد والتنقل الأفقي أو إعداد البيانات.
إدارة عن بُعد غير مصرح بها عبر سطر الأوامر
السريةينفذ المهاجمون أوامر عبر أدوات الإدارة عن بُعد (PsExec وSSH وWinRM) على الأنظمة المخترقة، وبدون سجلات تدقيق سطر الأوامر لا تستطيع المؤسسة كشف أو إعادة بناء أنشطة المهاجم على كل مضيف مخترق.
الثغرات (عند غياب الإجراء الوقائي)
تعطيل تسجيل كتل النصوص والوحدات في PowerShell
نقاط نهاية Windows ليس لديها تسجيل كتل نصوص PowerShell أو تسجيل الوحدات أو النسخ ممكّنة، مما لا يوفر رؤية لأوامر ونصوص PowerShell الفعلية المنفذة على أصول المؤسسة.
عدم وجود تدقيق سطر الأوامر للعمليات على نقاط النهاية
أنظمة التشغيل غير مكونة لتضمين وسيطات سطر الأوامر في أحداث تدقيق إنشاء العمليات، مما يعني أن أدوات الأمان لا تستطيع رؤية المعلمات التي مُررت إلى الملفات التنفيذية، مما يخفي النية الخبيثة خلف أسماء عمليات شرعية.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |