Olay katılımcıları ve mavi ekipler, tehditleri tanımlamak için Windows olay günlüğü kayıtları aracılığıyla aramayı hızlandıran testere adında yeni bir alet var.
Araç, bir güvenlik katılımının ilk yanıt aşamasında yardımcı olmak için tasarlanmıştır ve ayrıca incelemeyle ilgili mavi ekiplerin triyaj girişlerine de yardımcı olabilir.
Windows olay günlükleri, uygulamalar ve kullanıcı girişleri hakkında ayrıntılı bilgi içeren sistemin faaliyetlerinin bir defteridir. Adli araştırmacılar, bu kayıtlara, bazen ana kanıt kaynağı olarak, ilgilenilen olayların zaman çizelgesini oluşturur.
Bu kayıtları kontrol etmede zorluk, özellikle yüksek loglama seviyesine sahip sistemlerde birçoğumuz olmasıdır; İlgili bilgiler için aşınma, zaman alıcı bir görev olabilir ve olabilir.
F-Secure's Counterpt Division'da Kurşun Tehdit Avcısı James D tarafından yazılmıştır.
Araç, soruşturmaya ilişkin olay günlüklerini hızlı bir şekilde bulmak için SIGMA kural algılama mantığını kullanır.
"CHOAWAW ayrıca, SIGMA kurallarına uygun olmayan tespit kullanımları için yerleşik mantık içerir ve anahtar kelime, regex desen veya belirli olay kimlikleri için olay günlükleri aracılığıyla arama yapmak için basit bir arayüz sağlar."
F-Secure, testere, bir algılama ve yanıt çözümü (EDR) uzlaşma sırasında bulunmadığı ortamlarda olayın hızlı analizi için özel olarak uyarlanmış olduğunu söylüyor.
Bu gibi durumlarda, tehdit avcıları ve olay cevaplayıcıları, kötü amaçlı etkinliklere uygun Windows günlük bilgilerinden çıkarmak için testerenin arama özelliklerini kullanabilirler.
Kullanıcılar, aşağıdakileri yapmak için aracı kullanabilir:
Bunun dışında Sigma Kuralı Algılama, aşağıdakileri içeren çok sayıda Windows olay kimliği için çalışır:
Açık kaynaklı bir araç olarak temin edilebilen testere, EVTX ayrıştırıcı kütüphanesini ve F-Secure Counters'in TAU motor kütüphanesi tarafından sağlanan algılama mantığı eşleşmesini kullanır. Sonuçları ASCII tablosunda, CSV veya JSON'da çıkarabilir.
Kaynak: Bleeping Computer