NSA speurt naar vijanden met Windows event log monitoring
Volgens de NSA wordt het steeds lastiger om kwaadaardige activiteiten op netwerken te vinden, wat het belang aangeeft om van zoveel nuttige bronnen als mogelijk logbestanden te verzamelen en te monitoren. Dat stelt de inlichtingendienst in een nieuw document voor systeembeheerders.
Het document heet 'Spotting the Adversary with Windows Event Log Monitoring' en geeft een introductie in het verzamelen van belangrijke Windows werkstation event logbestanden en het opslaan ervan in een centrale locatie. Dit moet zowel het doorzoeken als het monitoren van het netwerk eenvoudiger maken.
Activiteiten
In het document worden vooral tools gebruikt die al in Windows aanwezig zijn. Het besturingssysteem beschikt over allerlei mogelijkheden om activiteiten die zich op het besturingssysteem voordoen te monitoren en te loggen. De hoeveelheid events die echter worden opgeslagen maakt het voor systeembeheerders niet eenvoudig om belangrijke gebeurtenissen te identificeren, aldus de NSA.
Daarom worden in het document verschillende aanbevelingen gegeven voor gebeurtenissen die regelmatig moeten worden verzameld en bekeken, zoals gecrashte applicaties en problemen met het systeem, services, de kernel of de Windows Firewall. Maar ook zaken die met het beheer te maken hebben, zoals logbestanden die worden verwijderd, installatie van software en services en het inloggen via de Remote Desktop kunnen op kwaadaardige activiteiten duiden.
Het blijkt dat dit document van half december 2013 is, dus waarschijnlijk komt het direct van de NSA zelf. Dat zegt wel wat over de huidige activiteiten van de NSA. Ze willen blijkbaar nog steeds een "politie wereld" creeren, ondanks alle kritiek, en de nieuwe voornemens van o.a. Obama. Die waren dus blijkbaar nog niet doorgedrongen tot "the agency". Of, beter gezegd, ze wilden er nog nog niets mee doen, en ze voelen zich zeker niet geremd...
M.a.w. dit gaat echt niet stoppen omdat iemand als Obama dat zegt te willen.
Dan kan hij met zijn staf,indien er ergens een conflict is een oplossing vinden,samen met de andere geheime diensten.
Hoe geweldig zou het zijn als de NSA een/enkele ongepubliceerde exploit(s) op verschillende PDF readers zouden bezitten (wat mij overigens vrij aannemelijk lijkt) en deze exploit(s) in zouden zetten in een PDF over "De correcte implementatie van SIEM (Security Incident & Event Monitoring)", met als payload het (ism Microsoft) verborgen en encrypt doorsturen van de lokale eventlogs op Windows 7+/2008r2+ exact zoals beschreven in het document.
Even tussen ons: Het is een geweldige handleiding voor de meeste systeem-/security professionals in het bedrijfsleven, en zodra ze het openen monitort de NSA het bedrijf..
Biedt iemand zich aan om de PDF te analyseren op eventuele mogelijke exploitcode?? -Ik persoonlijk zou niet weten hoe...
M!KE
Even tussen ons: Het is een geweldige handleiding voor de meeste systeem-/security professionals in het bedrijfsleven, en zodra ze het openen monitort de NSA het bedrijf..
Biedt iemand zich aan om de PDF te analyseren op eventuele mogelijke exploitcode?? -Ik persoonlijk zou niet weten hoe...
M!KE
Ik heb de pdf geanalyseerd en zie niets verdachts, er zit bijv geen javascript oid in.
Maar hoe weet je nou of ik niet voor ze werk ;-P
Sinds wanneer geeft een inlichtingendienst info weg hoe het zijn vijanden zoekt en zegt te vinden? Ik bedoel maar...
De NSA is er in principe om mensen te beschermen op dit vlak. Ondanks de vele dubieuze programmas zullen ze ook nog steeds hun echter werk doen. Zelf hebben ze bovendien wel betere manieren om je te infiltreren zonder in de windows event log op te vallen.
http://view.samurajdata.se/
En eventueel kan je ook ergens een pdf converteren naar een ander formaat, of iemand print de pdf en scant 'ie opnieuw, zodat eventuele malware verdwenen is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
