소개
이 문서에서는 포렌식 스냅샷이 엔드포인트에서 수집할 수 있는 권한 있는 정보에 대해 설명합니다.
기고자: Cisco 소프트웨어 엔지니어 Pedro Medina.
사전 요구 사항
다음 주제에 대한 지식을 보유하고 있으면 유용합니다.
- Cisco "보안 엔드포인트" 콘솔
- Cisco "궤도"
요구 사항
- 관리자 또는 비관리자 사용자로 "보안 엔드포인트"에 액세스
- Cisco "Orbital" 액세스
참고: 사용자가 비관리자인 경우 TAC 지원 팀을 통해 "비관리자를 위한 포렌식 스냅샷" 기능 활성화를 요청해야 합니다.
일반 정보
포렌식 스냅샷이 요청되면 사용자가 이 설명 테이블을 기반으로 필요한 정보를 찾을 수 있는 필수 정보에 따라 테이블 형식으로 정보가 표시됩니다.
| 이름 |
의미 |
개인 정보 보호 문제 |
| Autoexec 항목 |
시스템 시작 시 실행되는 항목 |
없음 |
| Bitlocker 암호화 모니터링 |
마운트된 모든 드라이브의 암호화 상태 |
암호화되지 않은 파일 버전에 대한 일부 가시성 |
| DNS 캐시 테이블 모니터링 |
최근에 검색한 도메인 |
최근 브라우저 기록 |
| 호스트 파일 데이터 |
호스트 파일의 항목 |
없음 |
| 호스트에 설치된 프로그램 |
설치된 애플리케이션 |
없음 |
| 수신 포트 |
네트워크 리스너를 여는 프로그램을 나열합니다. |
없음 |
| 로드된 모듈 해시 |
실행 중인 DLL(Dynamic Link Library) 파일의 해시 값 |
없음 |
| 로드된 모듈 프로세스 |
실행 중인 프로세스의 이름, 경로 및 PID |
없음 |
| 로드된 모듈과 프로세스 비교 |
로드된 모듈의 모듈 ID를 프로세스의 PID에 매핑 테이블 |
없음 |
| 로그온 세션 |
로그인한 사용자(시스템 사용자 포함) |
없음 |
| 매핑된 드라이브 |
로컬 및 원격 마운트 지점, 파일 시스템 유형, 부트 파티션 정보, 암호화 정보. |
없음 |
| 네트워크 연결 - 프로세스 |
내부 및 아웃바운드 네트워크 연결을 특정 PID에 매핑하고 프로세스를 시작한 시작 명령줄을 표시합니다. |
프라이빗 상태일 수 있는 특정 애플리케이션의 네트워크 연결이 노출될 수 있습니다. |
| 네트워크 인터페이스 |
디바이스의 모든 물리적 및 가상 네트워크 인터페이스 목록 |
없음 |
| 네트워크 프로파일 레지스트리 |
시스템이 연결된 네트워크 목록입니다. |
WIFI SSID가 노출될 수 있습니다. |
| OS 버전 |
운영 체제 버전 |
없음 |
| Powershell 기록 |
디바이스에서 실행되고 시스템에 저장된 모든 Powershell 명령 목록입니다. |
스크립트로 코딩된 비밀번호, 비밀 API 키 및 기타 민감한 데이터를 공개할 수 있는 잠재력. |
| 프리페치 디렉토리 |
메모리 관리 기능 - OS는 시작 시간을 절약하기 위해 자주 로드되는 실행 파일을 미리 로드하려고 시도합니다. |
사용자 습관의 노출. |
| 최근 파일 데이터 |
가장 최근에 사용/액세스한 파일 |
사용자 습관 및 개인 파일 이름의 노출 |
| 파일 해시 실행 |
실행 중인 모든 실행 파일의 이름, 경로, 명령줄, PID, 소유자 |
없음 |
| 서비스 모니터링 실행 |
실행 중인 모든 서비스의 이름, 서비스 유형, PID 및 시작 유형 |
없음 |
| 예약된 작업 |
시스템에서 주기적으로 실행되도록 설정된 모든 자동화된 작업 목록 |
없음 |
| 공유 리소스 |
시스템에서 공유 열기 |
없음 |
| 시작 항목 |
시스템 시작 시 실행되는 항목이며, 레지스트리 키에 저장된다는 점에서 autoexec과 다릅니다. |
없음 |
| 시스템 네트워크 상태 모니터링 |
네트워크 통계 |
없음 |
| 임시 디렉토리 파일 데이터 |
프로세스에 의해 생성된 임시 파일 |
사용자 검색 기록이 노출될 수 있습니다. |
| 신뢰할 수 있는 루트 인증서 |
신뢰할 수 있는 루트 인증서 저장소 데이터 덤프 |
없음 |
| UBSTOR 레지스트리 키 |
연결된 USB 장치의 기록 |
장치 일련 번호 노출 |
| 사용자 그룹 |
시스템의 로컬 그룹 |
없음 |
| UserAssist 모니터링 |
최근에 실행된 파일을 표시합니다. |
암호화 실행 또는 도구 삭제와 같은 숨겨진 동작이 노출될 수 있습니다. |
| 사용자 |
디바이스의 로컬 사용자 |
없음 |
| 사용자 - 로그인됨 |
현재 디바이스에 로그인한 로컬 사용자 |
없음 |
| WMI 이벤트 필터 모니터링 |
특정 항목에 대한 이벤트 로그 감시 |
없음 |
| Windows AV 제품 모니터링 |
시스템에 설치된 안티바이러스(있는 경우) |
없음 |
| Windows BAM 항목 모니터링 |
파일 실행에 대한 증거 제공 |
동작 노출 가능 |
| Windows 환경 변수 |
경로 정보, 시스템 변수 등을 표시합니다. |
없음 |
| Windows 핫픽스 |
설치된 모든 패치 목록 |
없음 |
| Windows NT 도메인 검색 |
컴퓨터가 인증할 수 있는 도메인 목록 |
없음 |
| Windows ShellBags 모니터링 |
폴더에 대한 사용자 액세스, 해당 폴더를 보기 위한 기본 설정 등에 대한 정보를 제공합니다. |
사용자 습관의 노출. |
| Windows ShimCache 모니터링 |
실행 파일과의 호환성 추적 |
사용자 행동 노출. |
| Chrome 확장 모니터링 |
Chrome 확장 목록 |
사용자 행동 노출. |
| Windows Office MRU |
각 Office 응용 프로그램에 대해 가장 최근에 사용한 파일을 나열합니다. |
민감한 파일 이름, 사용자 행동 노출 |
피드백