معرف حدث Sysmon 1: بناء شجرة العمليات للتحقيق

حقول Event ID 1

الحقول الهامة ليست بالضرورة تلك التي تظهر في أعلى الشاشة. في Sysmon Event ID 1، يجب تحديد المعرفات الثابتة والوقت والمصدر والوجهة والنتيجة والسياق. الأمثلة المفيدة هي ProcessGuid و ParentProcessGuid و Image و CommandLine و Hashes و User. الهدف هو السماح بالارتباط بين السجلات وليس فقط قراءة حدث واحد.

يوصى بإنشاء قاموس بيانات صغير: اسم الحقل، المعنى، التنسيق، المصدر، قيم Null المتوقعة، وما إذا كان موثوقًا للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو الإصدار بتغيير المخطط.

ProcessGuid مقابل ProcessId

لفهم الفرق في سياق Sysmon Event ID 1، من المهم مقارنة الأهداف وليس فقط الأدوات. خيار واحد يوفر سعة أو سرعة، وآخر يوفر تحققًا عميقًا أو سياقًا. يعتمد الاختيار الصحيح على السؤال: هل هناك حاجة إلى اكتشاف، تحقيق، إثبات تأثير، احتواء أو إبلاغ.

يجب أن يتضمن جدول المقارنة الاحترافي على الأقل: نوع الإدخال، مستوى اليقين، التكلفة التشغيلية، التأثير المحتمل، القيود، والمتابعة المطلوبة. في حالة الشك، يتم استخدام النهج الأقل تدخلاً ويتم إضافة مصدر مكمل بدلاً من استخلاص استنتاج واسع جدًا.

علاقات الأب والابن (Parent-Child relationships)

موضوع "علاقات الأب والابن" هو جزء أساسي من العمل على Sysmon Event ID 1. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في الممارسة العملية، قم بتسجيل ProcessGuid و ParentProcessGuid و Image و CommandLine و Hashes، قارن بالسلوك المتوقع، وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

CommandLine و IntegrityLevel

موضوع "CommandLine و IntegrityLevel" هو جزء أساسي من العمل على Sysmon Event ID 1. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في الممارسة العملية، قم بتسجيل ProcessGuid و ParentProcessGuid و Image و CommandLine و Hashes، قارن بالسلوك المتوقع، وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

بناء الشجرة والجدول الزمني

الجدول الزمني هو العمود الفقري لـ Sysmon Event ID 1. يتم توحيد الأوقات إلى UTC أو يتم ذكر المنطقة الزمنية بوضوح، مع الاحتفاظ بكل من Event time و Ingestion time، وربط الأحداث بمعرفات ثابتة. يجب أن يتضمن السطر الوقت والمصدر والكيان والعمل والنتيجة والموثوقية.

الفجوة أو التناقض ليسا عيبًا في المستند بل اكتشافًا. يمكن أن يؤدي Clock drift وتأخير الاستيعاب و NAT وإعادة استخدام PID أو الجلسة المستمرة إلى تغيير الترتيب. لذلك يتم تحديد نطاقات عدم اليقين والاحتفاظ برابط للعودة إلى الدليل الخام.

نقاط الفحص الفريدة

في هذا الموضوع، يوصى بإنشاء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: ProcessGuid، ParentProcessGuid، Image، CommandLine، Hashes، User. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان وعمل ووقت أو يشرح سلوكًا شرعيًا.

• ProcessGuid: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.
• ParentProcessGuid: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.
• Image: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.
• CommandLine: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.
• Hashes: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.
• User: حدد القيمة المتوقعة، وما يعتبر شاذًا، وما هو المصدر الإضافي الذي سيؤكد الاكتشاف.

عندما لا يكون أحد المحاور متاحًا، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن استخدام الوقت والمضيف والمستخدم والوالد؛ إذا كانت الحمولة مشفرة، يتم استخدام Metadata والحجم والتردد وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد نطاق وسؤال عمل واحد بخصوص Sysmon Event ID 1.
2. سجل مصادر البيانات والأدلة المطلوبة: ProcessGuid، ParentProcessGuid، Image، CommandLine.
3. أنشئ خطًا أساسيًا قصيرًا للسلوك السليم أو النتيجة المتوقعة.
4. قم بإجراء الحد الأدنى من الاختبار في بيئة معملية واحفظ الوقت والإدخال والإخراج.
5. أنشئ جدولًا زمنيًا أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بتدوير (Pivot) إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار والقيود والإجراء الموصى به ومعيار Retest.

سيناريو عملي

السيناريو المختار هو استعادة سلسلة Office-to-PowerShell محاكية. الغرض من التمرين ليس إثبات قدرة الهجوم، بل ممارسة الجمع والمقارنة والتوثيق بطريقة آمنة. قبل البدء في العمل، يتم تحديد بيانات وهمية، ونافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مراجع آخر تقييمه: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيد، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يتم إثباته.

قائمة تحقق عملية

• ✓تحقق ووثق: Event ID والموفر.
• ✓تحقق ووثق: Computer و User و Logon ID.
• ✓تحقق ووثق: Process و Parent و Command Line.
• ✓تحقق ووثق: Source IP و Workstation و Logon Type.
• ✓تحقق ووثق: Group/Privilege changes.
• ✓تحقق ووثق: Sysmon ProcessGuid أو SessionGuid.
• ✓اذكر Time zone، وإصدار الأداة، ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التعديل.
• ✓اكتب ما يثبته الاكتشاف وما هو غير معروف بعد.
• ✓حدد المالك والإجراء التالي مع الموعد.

أخطاء شائعة

• الاعتماد على Event ID بدون حقول.
• الخلط بين Logon ومصدر الهجوم.
• تجاهل Logon Type.
• ربط العمليات بواسطة PID فقط.
• افتراض أن كل PowerShell ضار.
• إغلاق حدث دون التحقق من Domain Controller.

ملخص و CTA

Sysmon Event ID 1: بناء شجرة العمليات للتحقيق هو موضوع يربط المعرفة التقنية بانضباط العمل. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI في HPI، يتم ممارسة هذه المبادئ باستخدام الأنظمة والسجلات والمختبرات. الخطوة التالية الطبيعية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ الناتج كجزء من حافظة أعمال احترافية.

الأسئلة الشائعة