Windows Event Logs לאנליסט SOC: מאיפה מתחילים

מבנה Event ב-Windows

השדות החשובים אינם בהכרח אלה שמוצגים בראש המסך. ב-Windows Event Logs לאנליסט SOC יש לזהות מזהים יציבים, זמן, מקור, יעד, תוצאה והקשר. דוגמאות שימושיות הן Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, Sysmon ProcessGuid או SessionGuid. המטרה היא לאפשר Correlation בין רשומות ולא רק קריאה של Event בודד.

מומלץ ליצור Data dictionary קטן: שם השדה, משמעות, פורמט, מקור, ערכי Null צפויים והאם הוא אמין לקישור. כך ניתן להבדיל בין שדה תצוגה לבין מזהה חקירתי, ולזהות כאשר Connector או גרסה שינו Schema.

Security, System, PowerShell ו-Sysmon

הנושא 'Security, System, PowerShell ו-Sysmon' הוא חלק מרכזי בעבודה על Windows Event Logs לאנליסט SOC. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

שדות שחייבים לקרוא

השדות החשובים אינם בהכרח אלה שמוצגים בראש המסך. ב-Windows Event Logs לאנליסט SOC יש לזהות מזהים יציבים, זמן, מקור, יעד, תוצאה והקשר. דוגמאות שימושיות הן Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, Sysmon ProcessGuid או SessionGuid. המטרה היא לאפשר Correlation בין רשומות ולא רק קריאה של Event בודד.

מומלץ ליצור Data dictionary קטן: שם השדה, משמעות, פורמט, מקור, ערכי Null צפויים והאם הוא אמין לקישור. כך ניתן להבדיל בין שדה תצוגה לבין מזהה חקירתי, ולזהות כאשר Connector או גרסה שינו Schema.

Event IDs מרכזיים

הנושא 'Event IDs מרכזיים' הוא חלק מרכזי בעבודה על Windows Event Logs לאנליסט SOC. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

איסוף ל-SIEM ושמירת הקשר

בשלב זה מגדירים אילו ראיות דרושות כדי לענות על שאלת החקירה. עבור Windows Event Logs לאנליסט SOC, נקודות הבסיס הן Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type. לכל מקור מתעדים בעלים, טווח שמירה, אזור זמן, עיכוב קליטה ושדות שעלולים להיות חסרים.

איכות איסוף אינה נמדדת בכך שהלוג 'מגיע'. יש לבדוק Completeness, Latency, Parsing, Duplicate events וסנכרון זמן. בדיקת Canary או אירוע מעבדה ידוע מאפשרת לוודא שהפעולה הופיעה במקור, עברה את ה-Pipeline וניתנת לחיפוש בשדות הנכונים.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, Sysmon ProcessGuid או SessionGuid. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• Event ID וה-Provider: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Computer, User ו-Logon ID: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Process, Parent ו-Command Line: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Source IP, Workstation ו-Logon Type: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Group/Privilege changes: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Sysmon ProcessGuid או SessionGuid: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא Windows Event Logs לאנליסט SOC.
2. רשמו את מקורות הנתונים והראיות הדרושים: Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא מפת מקורות לוגים למעבדת Windows קטנה. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: Event ID וה-Provider.
• ✓בדקו ותעדו: Computer, User ו-Logon ID.
• ✓בדקו ותעדו: Process, Parent ו-Command Line.
• ✓בדקו ותעדו: Source IP, Workstation ו-Logon Type.
• ✓בדקו ותעדו: Group/Privilege changes.
• ✓בדקו ותעדו: Sysmon ProcessGuid או SessionGuid.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• להסתמך על Event ID בלי שדות.
• לבלבל בין Logon למקור התקיפה.
• להתעלם מ-Logon Type.
• לקשר Processes לפי PID בלבד.
• להניח שכל PowerShell הוא זדוני.
• לסגור אירוע בלי לבדוק Domain Controller.

סיכום ו-CTA

Windows Event Logs לאנליסט SOC: מאיפה מתחילים הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• Microsoft Learn — Windows security auditing
• Microsoft Learn — Sysmon events
• Microsoft Sysinternals — Sysmon
• Microsoft Learn — PowerShell logging
• Microsoft Learn — Entra sign-in logs