Sysmon Event ID 3 و 22: اتصالات الشبكة واستعلامات DNS

حقول الحدث 3

الحقول المهمة ليست بالضرورة تلك التي تظهر في أعلى الشاشة. في Sysmon Event ID 3 و 22، يجب تحديد المعرفات المستقرة، الوقت، المصدر، الوجهة، النتيجة، والسياق. الأمثلة المفيدة هي ProcessGuid، DestinationIp، DestinationPort، QueryName، QueryResults، UtcTime. الهدف هو تمكين الارتباط بين السجلات وليس مجرد قراءة حدث واحد.

يوصى بإنشاء قاموس بيانات صغير: اسم الحقل، المعنى، التنسيق، المصدر، قيم Null المتوقعة، وما إذا كان موثوقًا للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو إصدار بتغيير Schema.

حقول الحدث 22

الحقول المهمة ليست بالضرورة تلك التي تظهر في أعلى الشاشة. في Sysmon Event ID 3 و 22، يجب تحديد المعرفات المستقرة، الوقت، المصدر، الوجهة، النتيجة، والسياق. الأمثلة المفيدة هي ProcessGuid، DestinationIp، DestinationPort، QueryName، QueryResults، UtcTime. الهدف هو تمكين الارتباط بين السجلات وليس مجرد قراءة حدث واحد.

يوصى بإنشاء قاموس بيانات صغير: اسم الحقل، المعنى، التنسيق، المصدر، قيم Null المتوقعة، وما إذا كان موثوقًا للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو إصدار بتغيير Schema.

الربط بواسطة ProcessGuid

يبدأ التنفيذ الصحيح بالمتطلبات وليس بالافتراضات. يتم تحديد حالات الاستخدام المدعومة، حجم البيانات، من يدير التكوين، وآلية Rollback. في Sysmon Event ID 3 و 22، يجب الفصل بين الإعدادات التي تنتج Telemetry والإعدادات التي تقوم بتصفيتها أو إثرائها.

بعد التكوين، يتم إجراء فحص متحكم به ببيانات متوقعة، ويتم التحقق من تسجيل الحدث، ووجود الحقول الرئيسية، وأن التغيير لم يسبب حملًا زائدًا أو نقطة عمياء. يتم حفظ كل تغيير في إصدار، مع تاريخ، مالك، سبب، ونتيجة الفحص.

تحديد النطاقات والوجهات الشاذة

يبدأ تحقيق Sysmon Event ID 3 و 22 بصياغة فرضية: ما هو السلوك الذي يفسر النتيجة، وما هي الأدلة التي ستؤكد أو تدحض ذلك. بعد ذلك، يتم توسيع النافذة الزمنية، والتحقق من الكيانات، والبحث عن تسلسل قبل وبعد الحدث.

الارتباط الجيد يجمع بين نوعين على الأقل من المعلومات من ProcessGuid، DestinationIp، DestinationPort، QueryName، QueryResults، UtcTime. لكل نتيجة، يتم تحديد ما تثبته، ما لا تثبته، وما هي الخطوة التالية. إذا كانت البيانات غير كافية، يتم وضع علامة Unknown ولا يتم تحويل غياب الأدلة إلى دليل على الغياب.

القيود والتحقق من المصادر الإضافية

في هذه المرحلة، يتم تحديد الأدلة اللازمة للإجابة على سؤال التحقيق. بالنسبة لـ Sysmon Event ID 3 و 22، النقاط الأساسية هي Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type. لكل مصدر، يتم توثيق المالك، نطاق الاحتفاظ، المنطقة الزمنية، تأخير الاستلام، والحقول التي قد تكون مفقودة.

لا تقاس جودة الجمع بوصول السجل. يجب التحقق من Completeness، Latency، Parsing، Duplicate events وتزامن الوقت. يسمح فحص Canary أو حدث معمل معروف بالتأكد من ظهور العملية في المصدر، ومرورها عبر Pipeline، ويمكن البحث عنها في الحقول الصحيحة.

نقاط فحص فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: ProcessGuid، DestinationIp، DestinationPort، QueryName، QueryResults، UtcTime، query name، response code، TTL، subdomain entropy. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، عمل، وزمن أو يفسر سلوكًا مشروعًا.

• ProcessGuid: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.
• DestinationIp: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.
• DestinationPort: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.
• QueryName: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.
• QueryResults: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.
• UtcTime: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وما هو المصدر الإضافي الذي سيتحقق من النتيجة.

عندما يكون أحد النقاط غير متاح، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن استخدام الوقت، المضيف، المستخدم، والوالد؛ إذا كانت Payload مشفرة، يتم استخدام Metadata، الحجم، التردد، وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد النطاق وسؤال عمل واحد حول Sysmon Event ID 3 و 22.
2. سجل مصادر البيانات والأدلة المطلوبة: ProcessGuid، DestinationIp، DestinationPort، QueryName.
3. أنشئ خط أساس قصيرًا للسلوك السليم أو النتيجة المتوقعة.
4. قم بإجراء الفحص الأدنى في بيئة معملية واحفظ الوقت، المدخلات، والمخرجات.
5. أنشئ مخططًا زمنيًا أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بتحويل إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به، ومعيار إعادة الاختبار.

سيناريو عملي

السيناريو المختار هو ربط استعلام بعملية وعنوان IP في المخطط الزمني. الهدف من التمرين ليس إثبات القدرة على الهجوم، بل التدرب على الجمع، المقارنة، والتوثيق بطريقة آمنة. قبل بدء العمل، يتم تحديد بيانات وهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم ناتج يمكن لمحلل أو فاحص آخر مراجعته: صورة أو تصدير للدليل، مخطط زمني قصير، فرضية أولية، دليل مؤكد، قيود، وتوصية. عندما لا يكون هناك دليل كافٍ، يكون الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓تحقق ووثق: Event ID و Provider.
• ✓تحقق ووثق: Computer، User و Logon ID.
• ✓تحقق ووثق: Process، Parent و Command Line.
• ✓تحقق ووثق: Source IP، Workstation و Logon Type.
• ✓تحقق ووثق: Group/Privilege changes.
• ✓تحقق ووثق: Sysmon ProcessGuid أو SessionGuid.
• ✓اذكر Time zone، إصدار الأداة، ووقت الجمع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما تثبته النتيجة وما هو غير معروف بعد.
• ✓حدد المالك والإجراء التالي مع الموعد.

أخطاء شائعة

• الاعتماد على Event ID بدون حقول.
• الخلط بين Logon ومصدر الهجوم.
• تجاهل Logon Type.
• ربط العمليات بواسطة PID فقط.
• افتراض أن كل PowerShell ضار.
• إغلاق حدث دون فحص Domain Controller.

ملخص و CTA

Sysmon Event ID 3 و 22: اتصالات الشبكة واستعلامات DNS هو موضوع يربط المعرفة التقنية بالانضباط العملي. ابدأ بسؤال، اجمع الأدلة ذات الصلة فقط، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة فحصه.

في مسار Cybersecurity & AI في HPI، يتم التدرب على هذه المبادئ باستخدام الأنظمة، السجلات، والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، إجراء التمرين المعملي، وحفظ الناتج كجزء من ملف عمل مهني.

الأسئلة الشائعة