סייבר ואבטחת מידע · windows-identity

Sysmon Event ID 3 ו-22: חיבורי רשת ושאילתות DNS

מאת תאיר מלכא 7 דק׳ קריאהפורסם: 5 באוגוסט 2026

המחשה חזותית מקצועית בנושא Sysmon Event ID 3 ו-22 בתחום Windows ו-Identity

תשובה מהירה

Sysmon Event ID 3 ו-22 מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

חקירת Windows ו-Identity נשענת על שילוב בין אירועי אימות, יצירת תהליכים, שינויים בהרשאות, Telemetry של Sysmon והקשר ארגוני. אירוע יחיד כמעט אף פעם אינו מספק מסקנה מלאה. המאמר הנוכחי מתמקד ב-Sysmon Event ID 3 ו-22 ומיועד ל-אנליסטי SOC וחוקרי Endpoint. המטרה היא לתת שיטת עבודה שאפשר ליישם בתרגול, בראיון מקצועי ובסביבת עבודה, בלי להסתפק בהגדרה מילונית.

האתגר המרכזי הוא שהנתונים כמעט תמיד חלקיים. ProcessGuid, DestinationIp, DestinationPort יכולים להצביע על כיוון, אך המשמעות שלהם תלויה בזמן, בנכס, במשתמש ובפעילות הצפויה. לכן נבנה את הבדיקה סביב שאלת חקירה, ראיות נדרשות וקריטריון ברור לסיום.

התרחיש המעשי במאמר הוא: חיבור Query לתהליך ול-IP ב-Timeline.. כל הדוגמאות הן נתוני מעבדה או תיאור תהליכי. כאשר מדובר ב-Penetration Testing, Web או Cloud, יש לעבוד רק עם אישור מפורש, Scope מוגדר ויכולת לעצור את הבדיקה.

שדות Event 3

השדות החשובים אינם בהכרח אלה שמוצגים בראש המסך. ב-Sysmon Event ID 3 ו-22 יש לזהות מזהים יציבים, זמן, מקור, יעד, תוצאה והקשר. דוגמאות שימושיות הן ProcessGuid, DestinationIp, DestinationPort, QueryName, QueryResults, UtcTime. המטרה היא לאפשר Correlation בין רשומות ולא רק קריאה של Event בודד.

מומלץ ליצור Data dictionary קטן: שם השדה, משמעות, פורמט, מקור, ערכי Null צפויים והאם הוא אמין לקישור. כך ניתן להבדיל בין שדה תצוגה לבין מזהה חקירתי, ולזהות כאשר Connector או גרסה שינו Schema.

שדות Event 22

חיבור לפי ProcessGuid

הטמעה נכונה מתחילה מדרישות ולא מברירת מחדל. מגדירים אילו Use Cases נתמכים, מה נפח הנתונים, מי מנהל את התצורה ומהו מנגנון Rollback. ב-Sysmon Event ID 3 ו-22 יש להפריד בין הגדרות שמייצרות Telemetry לבין הגדרות שמסננות או מעשירות אותה.

לאחר ההגדרה מריצים בדיקה מבוקרת עם נתון צפוי, מאמתים שהאירוע נרשם, שהשדות המרכזיים קיימים ושהשינוי לא יצר עומס או Blind spot. כל שינוי נשמר בגרסה, עם תאריך, בעלים, סיבה ותוצאת בדיקה.

זיהוי Domains ויעדים חריגים

חקירה של Sysmon Event ID 3 ו-22 מתחילה בניסוח Hypothesis: איזו התנהגות מסבירה את הממצא, ואילו ראיות יאשרו או יפריכו אותה. לאחר מכן מרחיבים חלון זמן, מאמתים את הישויות ומחפשים רצף לפני ואחרי האירוע.

קורלציה טובה משלבת לפחות שני סוגי מידע מתוך ProcessGuid, DestinationIp, DestinationPort, QueryName, QueryResults, UtcTime. לכל ממצא מציינים מה הוא מוכיח, מה הוא אינו מוכיח ומהו הצעד הבא. אם הנתונים אינם מספיקים, מסמנים Unknown ולא הופכים היעדר ראיה לראיה להיעדר.

מגבלות ואימות במקורות נוספים

בשלב זה מגדירים אילו ראיות דרושות כדי לענות על שאלת החקירה. עבור Sysmon Event ID 3 ו-22, נקודות הבסיס הן Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type. לכל מקור מתעדים בעלים, טווח שמירה, אזור זמן, עיכוב קליטה ושדות שעלולים להיות חסרים.

איכות איסוף אינה נמדדת בכך שהלוג 'מגיע'. יש לבדוק Completeness, Latency, Parsing, Duplicate events וסנכרון זמן. בדיקת Canary או אירוע מעבדה ידוע מאפשרת לוודא שהפעולה הופיעה במקור, עברה את ה-Pipeline וניתנת לחיפוש בשדות הנכונים.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: ProcessGuid, DestinationIp, DestinationPort, QueryName, QueryResults, UtcTime, query name, response code, TTL, subdomain entropy. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

ProcessGuid: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
DestinationIp: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
DestinationPort: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
QueryName: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
QueryResults: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
UtcTime: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

הגדירו Scope ושאלת עבודה אחת בנושא Sysmon Event ID 3 ו-22.
רשמו את מקורות הנתונים והראיות הדרושים: ProcessGuid, DestinationIp, DestinationPort, QueryName.
צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא חיבור Query לתהליך ול-IP ב-Timeline. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

שלב	מה מבצעים	תוצר
הכנה	הגדירו Scope, זמן ויעד. רשמו אילו שדות או ראיות מתוך ProcessGuid, DestinationIp, DestinationPort צפויים להופיע.	תוכנית בדיקה קצרה
יצירת נתון	בצעו פעולה בטוחה ומדומה הקשורה ל-Sysmon Event ID 3 ו-22, ללא מידע אמיתי או השפעה על מערכת ייצור.	אירוע/Request/Flow מבוקר
איסוף	אספו את הראיה הגולמית ואת ההקשר ממקור נוסף. ודאו Time zone, מזהים ושלמות.	שתי ראיות מקושרות
ניתוח	כתבו מה כל ראיה מוכיחה, מה אינה מוכיחה ומהו ההסבר הלגיטימי האפשרי.	מסקנת ביניים
סיום	בחרו סגירה, הסלמה, Finding או Tuning; הוסיפו המלצה ו-Retest.	תוצר מתועד

Checklist מעשי

בדקו ותעדו: Event ID וה-Provider.
בדקו ותעדו: Computer, User ו-Logon ID.
בדקו ותעדו: Process, Parent ו-Command Line.
בדקו ותעדו: Source IP, Workstation ו-Logon Type.
בדקו ותעדו: Group/Privilege changes.
בדקו ותעדו: Sysmon ProcessGuid או SessionGuid.
ציינו Time zone, גרסת כלי ושעת איסוף.
שמרו את הנתון הגולמי לפני סינון או שינוי.
כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

להסתמך על Event ID בלי שדות.
לבלבל בין Logon למקור התקיפה.
להתעלם מ-Logon Type.
לקשר Processes לפי PID בלבד.
להניח שכל PowerShell הוא זדוני.
לסגור אירוע בלי לבדוק Domain Controller.

סיכום ו-CTA

Sysmon Event ID 3 ו-22: חיבורי רשת ושאילתות DNS הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

האם Sysmon Event ID 3 ו-22 לבדו מוכיח תקיפה או חולשה?

לא. הוא מספק אות או ממצא שצריך הקשר, אימות ומקור נוסף. מסקנה מקצועית נשענת על רצף ראיות ועל התאמה להתנהגות הצפויה.

מה עושים כאשר חלק מהנתונים חסרים?

מתעדים את החסר, בודקים מקור חלופי ומצמצמים את רמת הביטחון. אין להשלים שדות בהשערה או להציג Unknown כתקין.

כמה זמן צריך לשמור את הראיות?

הזמן תלוי במדיניות, רגולציה, עלות וסוג האירוע. חשוב להגדיר מראש Retention, Legal hold ויכולת לייצא ראיה בפורמט שניתן לאמת.

איך מתרגלים בלי לסכן מערכת אמיתית?

משתמשים במכונות וירטואליות, נתונים מדומים, CTF או מעבדה ייעודית. בבדיקות מורשות מגדירים Scope, Stop conditions וגיבוי לפני תחילת העבודה.

מקורות

רוצים לבדוק אם המסלול מתאים לכם?

השאירו פרטים ונציג של HPI יחזור אליכם לשיחת התאמה קצרה וללא התחייבות.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI

רוצים לשמוע פרטים על התוכנית? השאירו פרטים ונחזור אליכם.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI יצירת קשר

על הכותב

תאיר מלכא

מייסד ומנכ״ל HPI ומרצה לסייבר

תאיר מלכא הוא מייסד ומנכ״ל HPI – המכללה למקצועות ההייטק, ומרצה לסייבר במסלולי ההכשרה של המכללה. במסגרת תפקידיו הוא אחראי על בניית תוכניות הלימוד המקצועיות של HPI בתחומי סייבר, IT ורשתות, ומוביל את הליווי המקצועי של הסטודנטים לאורך המסלול.

לפרופיל הכותב ↗

הקודם באשכול

Sysmon Event ID 1: בניית Process Tree לחקירה

הבא באשכול

Active Directory Logs: מקורות המידע החשובים לחקירה