sysmon中怎么檢測進程篡改

sysmon中怎么檢測進程篡改，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

sysmon介紹

Sysmon是微軟的一款輕量級的系統監控工具，提供有關進程創建，網絡連接以及文件創建時間更改的詳細信息,是安全事件檢測、分析和溯源的神器，sysmon 13 增加了一個Event ID 25,可用于檢測高級惡意攻擊策略Process Hollowing和Process Herpaderping

Process Hollowing和Process Herpaderping技術介紹

Process Hollowing：

攻擊者可以刪除可執行文件中的代碼，然后將其替換為惡意代碼。黑客使用進程空心化攻擊(類似于進程注入)來導致原本合法的進程執行惡意代碼。可以在逃避潛在防御措施（例如檢測分析軟件）的情況下進行此攻擊,執行流程為:map->modify section -> exeute

Process Herpaderping

一種通過在映像映射后修改磁盤上的內容來掩蓋進程意圖的方法，執行流程為:writer->map-modify ->execute -> close

Herpaderping工具介紹

Herpaderping是一種image被映射之后修改磁盤上的內容來隱藏進程意圖的方法。

作者的網站：https://jxy-s.github.io/herpaderping
工具項目地址：https://github.com/jxy-s/herpaderping

繞過流程如下：

1、將目標二進制文件寫入磁盤，保持句柄打開
2、將文件映射為image section
3、使用節句柄創建進程對象
4、使用相同的目標文件句柄，隱藏磁盤上的文件
5、在進程中創建初始線程（此時，內核中的進程創建回調將啟動。磁盤上的內容與image的內容不匹配。此時檢查文件將導致錯誤的屬性）
6、關閉句柄，觸發IRP_MJ_CLEANUP，此時安全產品開始檢查文件（因為我們已經隱藏了正在執行的內容，所以此時的檢查將導致錯誤的屬性）

作者提供的流程圖

實戰Sysmon 13檢測進程篡改

Sysmon安裝

Sysmonconfig-export.xml 配置文件

<Sysmon schemaversion="4.50">
  <EventFiltering>
	  <ProcessTampering onmatch="exclude">
	  </ProcessTampering>
  </EventFiltering>
</Sysmon>

sysmon安裝

Herpaderping使用

參數說明： .\ProcessHerpaderping.exe 惡意文件名稱,新文件名稱,偽造程序名稱
mimikatz已存在微軟的數字簽名

Sysmon進程篡改日志信息

進程篡改命令記錄

關于sysmon中怎么檢測進程篡改問題的解答就分享到這里了，希望以上內容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注億速云行業資訊頻道了解更多相關知識。