Süreç erişimi ve erişim maskeleri

lsass.exe (Local Security Authority Subsystem Service), oturum açmış kullanıcıların kimlik bilgilerini bellekte tutar. Mimikatz gibi araçlar ve comsvcs.dll MiniDump tekniği parola hash'lerini ve Kerberos biletlerini bu belleği okuyarak elde eder. Başka bir sürecin belleğini okumak için bir program önce ona bir handle açar ve belirli haklar ister. Sysmon Event ID 10 (category: process_access) bu isteği kaydeder.

Alanlar

• SourceImage: handle'ı açan program.
• TargetImage: açılan süreç.
• GrantedAccess: verilen haklar, onaltılık bir bit maskesi olarak.
• CallTrace: isteği yapan kod konumlarının zinciri. UNKNOWN kaydı, diskteki bir dosyadan yüklenmemiş kod demektir; enjekte edilmiş koda özgüdür.

Erişim maskesini okumak

Maskenin her biti bir haktır. Burada önemli olanlar:

• 0x0010 PROCESS_VM_READ: sürecin belleğini okumak.
• 0x0400 PROCESS_QUERY_INFORMATION ve 0x1000 PROCESS_QUERY_LIMITED_INFORMATION: süreç hakkında bilgi istemek.
• 0x1fffff PROCESS_ALL_ACCESS: bütün haklar.

0x1410, 0x1000 + 0x0400 + 0x0010'dur: bellek okuma hakkını içerir. 0x1400 içermez.

Sigma'da bit işlemi yok

Bir Sigma değeri metin olarak (ya da gt, lt ve türevleriyle sayı olarak) karşılaştırılır; "0x10 biti açık" diye bir koşul yoktur. Kurallar önemli maskeleri logda göründükleri gibi listeler. Bu liste veriden gelmelidir: bugün loglarınızda olmayan bir maske yarın başka bir araçtan gelebilir. SigmaHQ'nun LSASS erişim kuralları bu tür listeler kullanır, çoğu zaman CallTrace koşullarıyla birlikte.

Alıştırmada normal yazılımların da LSASS belleğini okuduğunu göreceksiniz: Windows Installer ve bir güncelleme servisi tam olarak bu hakları istiyor. LSASS challenge'ı onları saldırı araçlarından ayırmakla ilgili.