Taggat med: Mark Russinovich

Ny version av Windows Sysinternals Sysmon

Uppdatering: Nya versionen har nu släppts och event ID 22 representerar DNS-frågor:

Event ID 22: DNSEvent (DNS query)

This event generates when a process executes a DNS query, whether the result is successful or fails, cached or not.

is event generates when a process executes a DNS query, whether the result is successful or fails, cached or not.

Även så framgår följande uppdateringar i v10:

This release of Sysmon adds DNS query logging, reports OriginalFileName in process create and load image events, adds ImageName to named pipe events, logs pico process creates and terminates, and fixes several bugs.

Mark Russinovich som tillvardags är CTO på Microsoft Azure meddelade på Twitter att det kommer en ny version av System Monitor (Sysmon) idag Tisdag.

Denna nya version stödjer bl.a. DNS-loggning direkt till eventloggen i Windows. Både förfrågningar och svar loggas till eventloggen som DnsQuery.

När jag skriver detta under tisdagen har dock ännu inte den nya versionen av Sysmon släppts.

Skärmdump:

Ovan skärmdump visar att QueryResults returnerar 5 vilket är CNAME. Att logga svaren på detta sätt är bra vid SOC/SIEM och Threat Hunting eftersom svaren kan ändras med tiden och på detta sätt så får vi en ögonblicksbild hur frågan och svaret såg ut vid just detta tillfälle.

Här kan du ladda hem Sysmon: docs.microsoft.com/en-us/sysinternals/downloads/sysmon

Säker radering av filer med SDelete

SDelete är ett raderings-verktyg utvecklat av Mark Russinovich på Sysinternals och ägs numera av Microsoft.

Verktyget gör standard en överskrivning av den fil du vill radera men kan göra det antal du bestämmer. Även så finns det möjlighet att bl.a. radera oanvänt utrymme.

Så använder du SDelete

Steg ett är att ladda hem SDelete.exe här:

Sedan måste du starta cmd.exe och gå ut till kommandotolken och här kan du se vilka argument som går att använda med sdelete.exe:

sdelete

Och för att skriva över filen debug1214.txt tre gånger så gör vi enligt följande:

sdelete.exe

Andra funktioner som SDelete har som vi skrev ovan är att radera oanvänt utrymme. Och det kan man göra enligt följande:

sdelete3

Vi rekommenderar så klart att du skriver över hela hårddisken med hjälp av DBAN som vi skrivit om tidigare eftersom det troligtvis är en säkrare metod än SDelete (som ej är öppen källkod).

Vidare läsning om säker radering

För mer information om SDelete och andra verktyg från Sysinternals såsom Process Explorer och Autoruns se här:

Även så har .SE en Internetguide om Digitalt källskydd med ett kapitel vid namn Radera säkert som du kan läsa här.