প্রকাশিত: মার্চ ১০, ২০২৬, ১১:০০ AM EDT
ওলুওয়াডেমিলেড একজন টেক আগ্রহী যাদের পাঁচ বছরের বেশি লেখার অভিজ্ঞতা রয়েছে। তিনি ২০২২ সালে MUO দলে যোগ দেন এবং কনজিউমার টেক, iOS, অ্যান্ড্রয়েড, কৃত্রিম বুদ্ধিমত্তা, হার্ডওয়্যার, সফ্টওয়্যার, এবং সাইবার নিরাপত্তা সহ বিভিন্ন বিষয়ে লিখেন। MUO-তে লেখার পাশাপাশি, তাঁর কাজ HowtoGeek, Cryptoknowmics, TechNerdiness, এবং SlashGear-এ প্রদর্শিত হয়েছে।
ওলুওয়াডেমিলেড নাইজেরিয়ার ইউনিভার্সিটি অফ ইবাদানে পড়াশোনা করেছেন, কলেজ অফ মেডিসিন থেকে মেডিকেল ডিগ্রি অর্জন করেছেন। জনসেবায় দক্ষতা প্রদর্শন করলে, তাকে সংযুক্ত থাকা একটি ছাত্র সংগঠন দ্বারা গ্লোবাল অ্যাকশন অ্যামব্যাসডারের উপাধি দিয়েছিল। ২০২০ সালে মালয়েশিয়ার কুয়ালালামপুরে বিশ্বব্যাপী ইতিবাচক প্রভাব ফেলার তাঁর প্রচেষ্টার স্বীকৃতিতে এই পদবী প্রদান করা হয়েছিল।
খালি সময়ে, ওলুওয়াডেমিলেড নতুন AI অ্যাপ এবং ফিচার পরীক্ষা করতে, পরিবার ও বন্ধুদের টেক সমস্যা সমাধান করতে, নতুন কোডিং ভাষা শিখতে, এবং যেন যেতে পারে তত নতুন জায়গায় ভ্রমণ করতে পছন্দ করেন।
Sysmon উইন্ডোজকে একটি লেভেলের ভিজিবিলিটি দেয় যা এর বিল্ট-ইন লগিং দিতে পারে না
Event Viewer কখনোই কাটে পারবে না
উইন্ডোজ ইতিমধ্যে ইভেন্ট লগ রাখে, এবং আপনি যদি কখনো Event Viewer খুলে ইস্যু ট্রাবলশুট করেছেন, আপনি সম্ভবত লক্ষ্য করেছেন কতটুকু ক্যাওটিক সেগুলো অনুভব হতে পারে। অনেক শোর আছে এবং সবসময় পর্যাপ্ত স্পষ্টতা নেই। Sysmon, System Monitor-এর সংক্ষিপ্ত, একটি সম্পূর্ণ ভিন্ন প্রাণী। একবার ইনস্টল হলে, এটি একটি পারসিস্টেন্ট সিস্টেম সার্ভিস এবং ডিভাইস ড্রাইভার হিসেবে চলে, রিবুট সহ ব্র powierzch noe, এবং উইন্ডোজ ইভেন্ট লগে রিচলি ডিটেইল্ড ইভেন্ট লিখে। পার্থক্য সাদৃশ্য একটি গ্রेনি সিকিউরিটি ক্যামেরা সাথে একটি লাইসেন্স প্লেট পড়তে সক্ষম ক্যামেরার তুলনা।
Sysmon-এর ইভেন্ট ক্যাটালগ প্রসেস ক্রিয়েশন লগ করে পূর্ণ কমান্ড-লাইন আর্গুমেন্টস সহ, তাই আপনি শুধু দেখেন না যে একটি প্রোগ্রাম চলে, আপনি দেখেন কীভাবে এটি লঞ্চ করা হয়েছিল। এটি নেটওয়ার্ক কানেকশনও রেকর্ড করে, אורিজিনেটিং প্রসেস, IP অ্যাড্রেস, পোর্ট, এবং হোস্টনেম সহ। এটিকে সম্ভব করে যে অ্যাপ্লিকেশন কোনো সার্ভারের সাথে কখন কানেক্ট করেছিল। এটি এমনকি ফাইল ক্রিয়েশন টাইমস্ট্যাম্প পরিবর্তন ফ্ল্যাগ করে, একটি ক্লাসিক ম্যালওয়্যার ট্রিক যাতে নিজেকে লেজিটিমেট সিস্টেম ফাইল হিসেবে ছাপানো যায়। এর বাইরে, Sysmon ড্রাইভার লোডিং, রেজিস্ট্রি পরিবর্তন, DNS কোয়েরি, এবং আরও অ্যাডভান্সড টেকনিক্স যেন প্রসেস হোলো잉, Event ID 25-এ লগড, যেখানে ম্যালিশিয়াস কোড একটি অপরিহার্য উইন্ডোজ প্রসেসের ভিতরে লুকিয়ে থাকে।
এখানে সবচেয়ে সিকিউরিটি-রিলেভেন্ট ইভেন্ট ID-র একটি ড্রাফ্ট টেবিল:
| Event ID | নাম | কী ক্যাপচার করে |
|---|---|---|
| 1 | Process Create | প্রতিটি প্রসেস যা লঞ্চ হয়, পূর্ণ কমান্ড লাইন, প্যারেন্ট প্রসেস, এবং ফাইল হ্যাশসহ। সস্পিশিয়াস এক্সিকিউশন স্পট করার জন্য সিঙ্গেল মোস্ট ইউজফুল ইভেন্ট। |
| 2 | File Creation Time Changed | ফ্ল্যাগ করে যখন একটি প্রসেস ইচ্ছাকৃতভাবে একটি ফাইলের ক্রিয়েশন টাইমস্ট্যাম্প পরিবর্তন করে, একটি ক্লাসিক ম্যালওয়্যার ট্যাক্টিক লেজিটিমেট সিস্টেম ফাইলের সাথে ব্লেন্ড ইন होने। |
| 3 | Network Connection | আউটবাউন্ড TCP/UDP কানেকশন লগ করে, প্রতিটিকে সেটি করার প্রসেসের সাথে লিংক করে। বিঅকনিং বা ডেটা এক্সফিল্ট্রেশন ডিটেক্ট করার জন্য অপরিহার্য। |
| 6 | Driver Loaded | কার্নেল ড্রাইভার রেকর্ড করে সেগুলো লোড হওয়ার সাথে সাথে, সিগনেচার স্ট্যাটাসসহ। অনসাইনড বা অপ্রত্যাশিত ড্রাইভার একটি সিরিয়াস রেড ফ্ল্যাগ। |
| 7 | Image Loaded | DLLs প্রসেসে লোড হচ্ছে ট্র্যাক করে; ডিফল্টভাবে ডিজেবলড volumens কারণে, কিন্তু DLL হাইজ্যাকিং ডিটেক্ট করার জন্য শক্তিশালী যখন সতর্কতার সাথে ফিল্টার করা হয়। |
| 8 | Create Remote Thread | ডিটেক্ট করে যখন একটি প্রসেস অন্য প্রসেসে একটি থ্রেড ইনজেক্ট করে, যা কোড ইনজেকশন এবং প্রসেস হোলো잉 অ্যাটকের হালমার্ক টেকনিক। |
| 10 | Process Access | ফায়ার করে যখন একটি প্রসেস অন্য প্রসেসের মেমরি খুলে, ক্রেডেনশিয়াল থেফট টুলস ক্যাচ করে যা LSASS-কে টার্গেট করে (প্রসেস যা উইন্ডোজ লগইন সিক্রেটস সংরক্ষণ করে)। |
| 11 | File Create | নতুন ফাইল তৈরি বা ওভাররাইট লগ করে, পার্টিকুলারলি উপযোগী Temp, Downloads, এবং Startup ফোল্ডার ওচ করার সময়। |
| 12–14 | Registry Events | রেজিস্ট্রি কী ক্রিয়েশন, ডিলিশন, ভ্যালু চেঞ্জ, এবং রিনেম কভার করে, ম্যালওয়্যার রিবুট জুড়ে পা জমানোর প্রাইমারি উপায়। |
| 15 | File Create Stream Hash | ব্রাউজার দিয়ে ডাউনলোড হওয়া ফাইল ক্যাচ করে Zone Identifier স্ট্রিম লগ করে যেটি সেগুলোর সাথে অ্যাটাচড থাকে। সাস্পিশিয়াস এক্সিকিউটেবলের উত্পত্তি ট্রেস করার জন্য উপযোগী। |
| 17–18 | Pipe Events | নেমড পাইপ ক্রিয়েশন এবং কানেকশন মনিটর করে, একটি কমন ইন্টার-প্রসেস কমিউনিকেশন মেথড যা ম্যালওয়্যার এবং পোস্ট-এক্সপ্লোইটেশন ফ্রেমওয়ার্ক যেন Cobalt Strike ব্যবহার করে। |
| 19–21 | WMI Events | WMI ফিল্টার এবং কনসিউমার রেজিস্ট্রেশন ট্র্যাক করে, একটি পছন্দ ফাইললেস পা জমানোর টেকনিক যা এই ইভেন্ট ছাড়া প্রায় কোনো ট্রেস ছাড়া। |
| 22 | DNS Query | একটি প্রসেস যা সকল DNS লুকআপ করে সেগুলো লগ করে, ননown ম্যালিশিয়াস ডোমেইন কানেকশন স্পট করার সম্ভাবনা তৈরি করে পুরো TCP কানেকশন thiết lập হওয়ার আগে। |
| 25 | Process Tampering | প্রসেস হোলোইং এবং হার্পাডার্পিং ডিটেক্ট করে (টেকনিক যেগুলো লেজিটিমেট প্রসেস মেমরিকে ম্যালিশিয়াস কোড দিয়ে রিপ্লেস করে ডিটেকশন এভেড করার জন্য)। |
| 29 | File Executable Detected | সিস্টেমে যেকোনো নতুন এক্সিকিউটেবল (PE ফরম্যাট) ফাইল ক্রিয়েশন ফ্ল্যাগ করে, একটি ড্রপার বা ইনস্টলার চলছে সেটির একটি স্ট্রং অর্লি ইন্ডিকেটর। |
Sysmon আপ আর রানিং করানোর পদ্ধতি
আপনি যদি একটি টার্মিনাল খুলতে পারেন, আপনি ইতিমধ্যে অধিকাংশ পথে আছেন
Sysmon মাইক্রোসফটের Sysinternals পেজ থেকে ফ্রি ডাউনলোড (ভার্সন ১৫.১৫ এই লেখা পর্যন্ত), এবং ইনস্টলেশন একটি একক কমান্ড। আপনাকে অ্যাডমিনিস্ট্রেটর প্রিভিলেজ এবং PowerShell বা কমান্ড প্রম্পটের মাধ্যমে একটি সংক্ষিপ্ত détour দরকার, কিন্তু পুরো প্রক্রিয়া পাঁচ মিনিটের নিচে নেয়।
অফিশিয়াল Sysmon পেজে Microsoft Learn-এ যান, ZIP ফাইল ডাউনলোড করুন (প্রায় ৪.৬ MB), এবং এর কন্টেন্ট এক্সট্রাক্ট করুন। তারপর PowerShell বা Command Prompt অ্যাডমিনিস্ট্রেটর হিসেবে খুলুন, ফোল্ডারে নেভিগেট করুন, এবং রান করুন:
.\sysmon64 -accepteula -i
এটিই বেসিক ইনস্টল: Sysmon এর সার্ভিস এবং ড্রাইভার ব্যাকগ্রাউন্ডে ইনস্টল করবে। আসলে, আপনাকে রিবুট করতে হবে না। সেটি থেকে এগিয়ে, এটি ইভেন্ট লগিং শুরু করবে Applications and Services Logs -> Microsoft -> Windows -> Sysmon -> Operational in Event Viewer-এ। আপনি সেই লগগুলো অবিলম্বে দেখতে পারেন।
আনইনস্টল করা ঠিক ততটুকুই সহজ: sysmon64 -u। টুলটি কখনো নিজেকে Энট্রেন্চ করার চেষ্টা করে না, যা আমি রেসপেক্ট করি।
আপনাকে একা ইভাব করার প্রয়োজন নেই
ডিফল্ট Sysmon ইনস্টলেশন ফাংশনাল, কিন্তু এটি একদম নিজেরਅপনাকৈ আসে একটি কনফিগারেশন ফাইলের সাথে। Sysmon একটি XML কনফিগ আশা করে যা স্পেসিফাই করে কোনো ইভেন্ট লগ করা হবে, কোনো ফিল্টার আউট করা হবে, এবং কতটুকু গ্রানুলার হতে হবে। আপনি যদি ফরম্যাটটি পরিচিত না হন, আপনি XML ফাইল কী এবং কীভাবে ব্যবহার করা হয় সেটি ব্রাশ আপ করতে পারেন, কারণ এই ফাইলগুলো Sysmon আপনার সিস্টেম মনিটর করতে যে "লজিক" ব্যবহার করে সেটি ডিফাইন করে। নিজে থেকে লিখা একটি প্রজেক্ট — কিন্তু আপনাকে করতে হবে না।
সাইবারসিকিউরিটি কমিউনিটি কিছু অসাধারণ রেডি-মেড কনফিগ তৈরি করেছে। সবচেয়ে широко ব্যবহৃত হলো SwiftOnSecurity sysmon-config, GitHub-এ ফ্রি উপলব্ধ, প্রায় ৫,০০০ স্টার এবং ১,৭০০-এরও বেশি ফোর্কসহ। এটিকে সিকিউরিটি-রিলেভেন্ট ইভেন্ট ক্যাপচার করার জন্য সতর্কতার সাথে টিউন করা হয়েছে যখন নויז ফিল্টার আউট করা হয়েছে যা অন্যথায় আপনার লগগুলো অনরিডেবল করত। প্রতিটি লাইন কমেন্টেড, তাই এটি একটি টিউটোরিয়াল হিসেবে ডবল কাজ করে। এই কনফিগ দিয়ে ইনস্টল করতে, আপনি রান করবেন:
sysmon64 -accepteula -i sysmonconfig-export.xml
এক্সিস্টিং ইনস্টলেশন আপডেট করতে একটি নতুন কনফিগ ফাইলের সাথে:
sysmon64 -c sysmonconfig-export.xml
আপনি যদি কিছু আরও মডুলার চান, Olaf Hartong-এর sysmon-modular প্রজেক্ট (GitHub-এ) একটি কম্পোজেবল, কমিউনিটি-মেইনটেইনড অ্যাপ্রোচ অফার করে যা সরাসরি MITRE ATT&CK ফ্রেমওয়ার্কে ম্যাপ করে। দুটোই শুভ آغاز।
এটি প্রতিটি আটাক রোকবে না, কিন্তু আপনি জানবেন একটি হয়েছে
আপনাকে Sysmon ভালো চালানোর জন্য সিকিউরিটি ইঞ্জিনিয়ার হতে হবে না। আপনাকে একটি ডিসেন্ট কনফিগ ফাইল, Event Viewer কখনও কখনও খোলার ইচ্ছা, এবং সেটির স্যাটিসফ্যাকশন দরকার যে যদি কখনো আপনার মেশিনে কিছু অদ্ভুত ঘটে, আপনার پاس তার একটি রেকর্ড থাকবে। আমার জন্য, সেই শান্তি, ভালোই পাঁচ মিনিট সেটআপের যোগ্য।
