恶意软件的渗入、运行、传播一般都会在系统和网络中留下痕迹，这些痕迹翻译成计算机语言则包括了进程的创建、dll装载、网络连接、文件创建和更改、注册表启动项更改、服务与任务配置修改等信息，通过Windows的sysmon监控这些痕迹，并实时传递给Splunk进行处理与关联分析，可以高效的识别出恶意或异常活动，理解网络中的入侵者和恶意行为.

一、前言

最近在学习Splunk机器数据分析工具，很想写一篇与Splunk相关的安全类课文，想了想，结合现在的恶意软件横行，还是写一点Splunk在windows 系统层面检测和防御恶意软件相关的文章：

二、工具和软件

Splunk：Splunk是一个机器数据的引擎，可以收集、索引和分析所有应用程序、服务器和设备中实时生成的快速移动型计算机数据，我们称这种数据为机器数据，Splunk是机器数据的Google搜索引擎.

官网是: https://www.splunk.com

Splunk Add-on for Microsoft sysmon和 Splunk Add-on for Microsoft Windows：这两个插件是用于收集和处理Windows日志的，帮助Splunk理解这两种不同数据源所产生的数据。我们可以直接在Splunk软件中安装这些插件，并使用Splunk集中转发管理将插件自动部署到被监控的服务器.

Sysmon：Windows有一个轻量级的检测工具, 可以实时监控并记录系统活动并记录在Windows日志中（形成机器数据），监控的活动包括对进程的创建、dll装载、网络连接、文件创建和更改。但Sysmon工具并不会帮助技术人员去分析恶意活动，他仅仅是跟踪和记录了恶意行为留下的痕迹，如果想要具体分析这些恶意活动，则需要一些能够针对恶意行为产生的数据进行整合、关联、分析的工具，本文中我们使用Splunk来实现这部分工作.

VriusTotal：在线病毒检测网站，根据用户提供的文件、hashes、IP、域名分析恶意软件信息，包括文件类型、程序库函数、行为分析等。用户也可以通过RestFul API提交恶意软件分析请求, 需要申请apikey，有Public api key和Private api key两种，其中Public api key有请求次数的限制.

官网是https://www.virustotal.com/

Malware Hash Registry(HMR)：来自TEAM CYMRU公司的恶意软件Hash值检索的项目，支持通过whois和dig等网络工具查询指定hash的软件是否是恶意软件，优点是没有请求次数限制，但获取到的恶意软件信息比较有限，详细的信息可以访问http://www.team-cymru.org/MHR.html

三、环境准备与配置

1、首先在被监控的Windows的服务器上安装sysmon, 其安装命令如下：

Install: Sysmon.exe -i <configfile>
[-h <[sha1|md5|sha256|imphash|*],...>] [-n [<process,...>]]
[-l (<process,...>)]

说明：

-i 加载xml配置文件

-n 监视网络

-l 监视指定进程

可以通过以下命令快速安装：

Install命令：sysmon64 -accepteula –i -n

2、优化sysmon的一些配置，排除对微软、Splunk相关可信程序的监控，减少不必须要的监控输出，本文中贴出我的配置文件.

Config命令: sysmon64 –accepteula -c:\windows\config.xml

————————————xml配置文件————————————

<Signature condition="contains">microsoft</Signature>

<Signature condition="contains">windows</Signature>

</DriverLoad>

<Image condition="contains">splunk</Image>

<Image condition="contains">streamfwd</Image>

<Image condition="contains">splunkd</Image>

<Image condition="contains">splunkD</Image>

<Image condition="contains">splunk</Image>

<Image condition="contains">splunk-optimize</Image>

<Image condition="contains">splunk-MonitorNoHandle</Image>

<Image condition="contains">splunk-admon</Image>

<Image condition="contains">splunk-netmon</Image>

<Image condition="contains">splunk-regmon</Image>

<Image condition="contains">splunk-winprintmon</Image>

<Image condition="contains">btool</Image>

<Image condition="contains">PYTHON</Image>

</ProcessCreate>

<Image condition="contains">splunk</Image>

<Image condition="contains">streamfwd</Image>

<Image condition="contains">splunkd</Image>

<Image condition="contains">splunkD</Image>

<Image condition="contains">splunk</Image>

<Image condition="contains">splunk-optimize</Image>

<Image condition="contains">splunk-MonitorNoHandle</Image>

<Image condition="contains">splunk-admon</Image>

<Image condition="contains">splunk-netmon</Image>

<Image condition="contains">splunk-regmon</Image>

<Image condition="contains">splunk-winprintmon</Image>

<Image condition="contains">btool</Image>

<Image condition="contains">PYTHON</Image>

</ProcessTerminate>

<Image condition="contains">splunk</Image>

<Image condition="contains">streamfwd</Image>

<Image condition="contains">splunkd</Image>

<Image condition="contains">splunkD</Image>

<Image condition="contains">splunk</Image>

<Image condition="contains">splunk-optimize</Image>

<Image condition="contains">splunk-MonitorNoHandle</Image>

<Image condition="contains">splunk-admon</Image>

<Image condition="contains">splunk-netmon</Image>

<Image condition="contains">splunk-regmon</Image>

<Image condition="contains">splunk-winprintmon</Image>

<Image condition="contains">btool</Image>

<Image condition="contains">PYTHON</Image>

</FileCreateTime>

</NetworkConnect>

</EventFiltering>

</Sysmon>

3、安装Splunk Add-on for Microsoft sysmon和 Splunk Add-on for Microsoft Windows，保持默认配置即可.

4、VriusTotal网站申请一个免费的Public API Key，直接邮注册即可，成功后在自己的Profile中就可以找到Public Key, API详细手册可以参考https://www.virustotal.com/en/documentation/public-api/，本文中用到的部分API代码如下所示：

5、编写恶意软件检测程序，实时判断当前内网被监控服务器上创建进程是否为恶意软件，通过Splunk的API实时获取服务器正在创建的进程哈希值，并根据Virustotal或HMR的恶意软件搜索接口，判断进程是否为恶意软件.

代码主要思路：

（1）通过Splunk API语句获取被监控服务器上进程的hash值，其SPL语言为search index=wineventlog sourcetype="xmlwineventlog:microsoft-windows-sysmon/operational" EventCode=1 | stats count by md5

（2）使用hash值在Virustotal或HMR中提交恶意软件搜索请求，如果匹配恶意软件，则将搜索结果更新到本地的Malware.CSV文件中进行记录，

（3）通过Splunk的关联分析，将Windows进程创建的事件与Malware.CSV进行关联分析，判断进程是否为恶意软件.

为避免重复向Virustotal和HMR中提交相同进程的搜索请求，建议程序仅提交未搜索请求过的进程.

四、具体实践

1、注册表启动项监控

恶意软件通常需要在系统中进行长期驻守，其常驻的方法有注册表启动、用户开机启动文件夹、系统服务、任务计划等，我们就拿注册表启动项来分析，Windows注册表启动项主要有以下三个：

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

通过Splunk windows插件，我们可以分析和搜索Windows的注册表启动项变更事件，发现可疑进程，本例中进程(pid:2724)在注册表启动项中创建了一个子项(runonce), 紧跟其后在此子项中配置了一个键值(Certificates), 其值指向了用户本地应用目录的一个恶意软件，只要用户重启其PC，即可触发此恶意软件的攻击.

2、进程创建监控

通过Windows的sysmon监控服务器本地进程创建事件，并将事件转发到Splunk中进行索引和处理，我们可以快速搜索进程创建类的事件，其中EventCode=1即代表进程创建事件，通过与在线病毒查询网站Virustotal或HMR的关联分析，我们可以获取每个进程的可信情况，以下截图我们发现，pid为2724的进程是勒索软件，在随后的1分钟和3分钟又分别执行了一次，这也印证了注册表启动项的分析.

3、关联分析出恶意软件感染情况

在上面介绍中我们已经确认了恶意软件进程，这些进程在系统中会创建子进程完成加密文件、外链控制、支付通道等工作，通过Splunk的关联分析，将父进程id与恶意进程id进行关联，我们可以快速获取这些子进程信息.

4、主动告警跟踪

为加快安全事件的响应速度，也可以将Splunk中的搜索定义为告警，通过自定义脚本或者邮件通知到技术人员.

5、全局视角去分析恶意软件事件

通过Splunk丰富的报表和仪表盘功能，可以帮助技术人员从宏观上了解恶意软件感染和分布情况.

五、扩展

本文中只是恶意软件检测方法中的一小部分，还有很多复杂的检测方法，Splunk也提供了一款专门检测、预防勒索软件的APP（Splunk Security Essentials for Ransomware），这款App的主要功能我们这里可以介绍一下：这款APP的免费下载地址为：https://splunkbase.splunk.com/app/3593

主要从三个层面来检测和预防勒索类软件，其要点是监控备份事件、注册表启动事件、SMB流量(445等网络活动)、恶意软件漏洞检测等等.

终端主要包括：

伪造windows进程
恶意命令执行
监控自动启动注册表
勒索文件名后缀

IT主要包括：

监控成功的备份
监控不成功的备份
监控成功的windows更新
监控不成功的Windows更新
恶意软件漏洞

网络主要包括：

SMB流量监控
TOR网络流量（洋葱路由）

小结：在预防恶意软件。特别是勒索类软件的威胁时，对重要级文件备份也是一个不可忽视的环节，做到有备无患，在应对恶意软件时才能胸有成竹.

如何使用Splunk检测恶意软件

一、前言

二、工具和软件

三、环境准备与配置

四、具体实践

五、扩展

热门文章

最新文章

相关课程

相关电子书

相关实验场景

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

如何使用Splunk检测恶意软件

一、前言

二、工具和软件

三、环境准备与配置

四、具体实践

五、扩展

热门文章

最新文章

相关课程

相关电子书

相关实验场景