Так выглядит установка Sysmon с соответствующей настройкой архивной директории:

SPL
Тут, я думаю, стоит вспомнить о менеджерах паролей, которые также используют буфер обмена. Наличие Sysmon в системе с менеджером паролей позволит вам (или злоумышленнику) захватывать эти пароли. Если допустить, что вам известно какой именно процесс аллоцирует скопированный текст (а это не всегда процесс менеджера паролей, а может быть какой-нибудь svchost), это исключение можно добавить в белый список и не сохранять.
Может вы не знали, но текст из буфера обмена захватывается удаленным сервером при переключении на него в режиме сеанса RDP. Если у вас есть что-то в буфере обмена и вы переключаетесь между сеансами RDP, эта информация будет путешествовать с вами.
Подведем итог возможностей Sysmon по работе с буфером обмена.
Фиксируются:

• Текстовая копия вставляемого текста через RDP и локально;
  
• Захват данных из буфера обмена различными утилитами/процессами;
  
• Копирование/вставка текста с/на локальную виртуальную машину, даже если этот текст ещё не был вставлен.

Не фиксируются:

• Копирование/вставка файлов с/на локальную виртуальную машину;
  
• Копирование/вставка файлов через RDP
  
• Вредоносная программа, захватывающая ваш буфер обмена, записывает только в сам буфер обмена.

При всей своей неоднозначности, этот тип событий позволит восстановить алгоритм действий злоумышленника и поможет выявить ранее недоступные данные для формирования постмортемов после атак. Если запись содержимого в буфер обмена все же включена, важно фиксировать каждый факт доступа к архивной директории и выявлять потенциально опасные (инициированные не sysmon.exe).
Для фиксации, анализа и реакции на перечисленные выше события можно использовать инструмент InTrust, который сочетает в себе все три подхода и, к тому же, является эффективным централизованным хранилищем всех собранных сырых данных. Мы можем настроить его интеграцию с популярными SIEM-системами для минимизации расходов на их лицензионное обеспечение за счет переноса обработки и хранения сырых данных в InTrust.
Чтобы узнать подробнее про InTrust, прочитайте наши предыдущие статьи или оставьте заявку в форме обратной связи.
Как снизить стоимость владения SIEM-системой и зачем нужен Central Log Management (CLM)
Включаем сбор событий о запуске подозрительных процессов в Windows и выявляем угрозы при помощи Quest InTrust
Как InTrust может помочь снизить частоту неудачных попыток авторизаций через RDP
Выявляем атаку вируса-шифровальщика, получаем доступ к контроллеру домена и пробуем противостоять этим атакам
Что полезного можно вытащить из логов рабочей станции на базе ОС Windows (популярная статья)
А кто это сделал? Автоматизируем аудит информационной безопасности
===========
Источник:
habr.com
===========
Похожие новости:

• [Информационная безопасность, IT-инфраструктура, Исследования и прогнозы в IT, IT-компании] Зона доступа: 30 способов, которые позволят разблокировать любой смартфон. Часть 1
  
• [Системное администрирование, Серверное администрирование, Хранилища данных, DevOps] Пять вопросов о Ceph с пояснениями (перевод)
  
• [Nginx, Системное администрирование] Оптимизация: Настройка веб-сервера Nginx для улучшения показателей RPS в HTTP API (перевод)
  
• [DevOps, Kubernetes, Серверное администрирование, Системное администрирование] АйТиБалаган! #3: Зачем DevOps-инженеру программирование и что такое виртуализация
  
• [Информационная безопасность, Мозг] Ошибки памяти. Какие когнитивные искажения учитывать, чтобы верно распознавать ложь
  
• [IT-инфраструктура, IT-компании] Cloudflare и Internet Archive сделают сайты доступными даже в случае проблем с хостингом
  
• [Информационная безопасность, Сетевые технологии] Защитить удаленку (и не только) с помощью Netflow
  
• [Информационная безопасность, Хранение данных] Пограничный патруль США планирует 75 лет хранить данные из гаджетов путешественников
  
• [Информационная безопасность, Сетевые технологии, Системное администрирование] OSINT или как посмотреть на свою сеть глазами хакера
  
• [GitHub, Open source, Расширения для браузеров, Софт] Разработка uMatrix закрыта

Теги для поиска: #_itinfrastruktura (IT-инфраструктура), #_informatsionnaja_bezopasnost (Информационная безопасность), #_sistemnoe_administrirovanie (Системное администрирование), #_soft (Софт), #_quest, #_intrust, #_gals_software, #_security, #_information_security, #_siem, #_clm, #_log_management, #_sysmon, #_sysinternals, #_blog_kompanii_gals_software (
Блог компании Gals Software
), #_itinfrastruktura (
IT-инфраструктура
), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_sistemnoe_administrirovanie (
Системное администрирование
), #_soft (
Софт
)