Kumpulkan Log Aliran Lalu Lintas Command-Line Audit
Deskripsi
Kumpulkan log audit baris perintah. Contoh implementasi termasuk pengumpulan log audit PowerShell®, log Bash, dan log terminal jarak jauh.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform SIEM dengan manajemen log, deteksi ancaman, investigasi, dan pelaporan kepatuhan di seluruh sumber data perusahaan
Cisco (Splunk) · Berbasis ingest atau berbasis beban kerja
SIEM dan SOAR cloud-native dengan analitik berbasis AI, respons ancaman otomatis, dan integrasi native Azure/M365
Microsoft · Bayar sesuai penggunaan (per GB yang diproses)
Platform manajemen log dan observabilitas berkinerja tinggi yang dirancang untuk data skala petabyte dengan pencarian real-time
CrowdStrike · Langganan per GB
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Penghindaran Serangan Living-Off-the-Land
ConfidentialityPenyerang menggunakan alat OS bawaan seperti PowerShell, cmd.exe, bash, dan WMI untuk mengeksekusi perintah berbahaya yang menyatu dengan aktivitas administratif normal, dan tanpa pencatatan command-line serangan fileless ini tidak meninggalkan jejak untuk deteksi atau forensik.
Eksekusi Payload PowerShell yang Diobfuskasi
IntegritySkrip PowerShell berbahaya menggunakan perintah yang dikodekan, teknik bypass AMSI, dan pemuatan modul dieksekusi pada endpoint tanpa catatan perintah yang sebenarnya dijalankan, mencegah deteksi pengambilan kredensial, pergerakan lateral, atau staging data.
Administrasi Jarak Jauh Tidak Sah melalui Command Line
ConfidentialityPenyerang mengeksekusi perintah melalui alat administrasi jarak jauh (PsExec, SSH, WinRM) pada sistem yang dikompromikan, dan tanpa log audit command-line organisasi tidak dapat mendeteksi atau merekonstruksi aktivitas penyerang pada setiap host yang dikompromikan.
Kerentanan (Saat Pengamanan Tidak Ada)
PowerShell Script Block dan Module Logging Dinonaktifkan
Endpoint Windows tidak memiliki PowerShell script block logging, module logging, atau transkripsi yang diaktifkan, tidak menyediakan visibilitas terhadap perintah dan skrip PowerShell yang sebenarnya dieksekusi pada aset perusahaan.
Tidak Ada Audit Command-Line Proses pada Endpoint
Sistem operasi tidak dikonfigurasi untuk menyertakan argumen command-line dalam peristiwa audit pembuatan proses, yang berarti alat keamanan tidak dapat melihat parameter apa yang diberikan ke executable, menyembunyikan niat berbahaya di balik nama proses yang sah.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Dasbor SIEM yang menunjukkan sumber log dan status pengumpulan | Diambil setiap bulan |
| Catatan | Catatan peninjauan log dan temuan | Setiap siklus peninjauan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |