Sustavi za zaštitu krajnjih točaka i zaobilaženje zaštite

diplomski rad

• Naslov (engleski): Evading protection in endpoint detection and response systems
• Autor: Zdravko Petričušić
• Mentor: Marin Vuković (mentor)
• Član povjerenstva: Marin Vuković (predsjednik povjerenstva)
• Član povjerenstva: Dragan Jevtić (član povjerenstva)
• Član povjerenstva: Miljenko Mikuc (član povjerenstva)
• Ustanova koja je dodijelila akademski / stručni stupanj: Sveučilište u Zagrebu; Fakultet elektrotehnike i računarstva; Zagreb
• Datum i država obrane: 2024-07-10, Hrvatska

Sažetak

Kroz ovaj rad pružen je pregled u arhitekturalnu složenost operacijskog sustava Windows te interne procese i mehanizme povezane uz autentikaciju korisnika. Kako se korisničke vjerodajnice i ostali osjetljivi kriptografski materijali nalaze u radnoj memoriji glavnog autentikacijskog procesa, lsass.exe, pregledane su postojeće metode napada na sam proces koje za cilj imaju ekstrakciju vjerodajnica iz virtualne memorije procesa. Radi boljeg razumijevanja razloga za unaprjeđenje prethodno korištenih tehnika, pružen je pregled principa rada sigurnosnih sustava poput antivirusa ili EDR sustava kroz prizmu Windows Defender sigurnosnog rješenja. Konačno, rad je predstavio dvije moderne metode za ekstrakciju vjerodajnica, MalSecLogon te NtSystemDebugControl, koje zaobilaze navedeno sigurnosno rješenje te uspješno ekstrahiraju osjetljive podatke iz memorije.

Sažetak (engleski)

This paper provided insight into the architectural complexitz of the Windows operating system and the internal processes and procedures related to user authentication. Since user credentials and other sensitive cryptographic materials are located within the virtual memory of the central authentication process, lsass.exe, the paper reviewed existing methods of attacking the process itself with the end goal of extracting user credentials from process memory. To better understand the need to move toward more modern attack vectors, an EDR internals overview was given as inspected through the prism of the Windows Defender security solution. Finally, the paper presented two modern methods to extract user credentials, MalSecLogon and NtSystemDebugControl, which bypass the mentioned security solution and successfully extract the credential data.

• Ključne riječi: Windows; autentikacija; LSASS; EDR; Windows Defender; MalSecLogon; NtSystemDebugControl; Mimikatz
• Ključne riječi (engleski): Windows; authentication; LSASS; EDR; Windows Defender; MalSecLogon; NtSystemDebugControl; Mimikatz
• Jezik: hrvatski
• URN:NBN: urn:nbn:hr:168:756362
• Studijski program: Naziv: Računarstvo; Vrsta studija: sveučilišni; Stupanj studija: diplomski; Akademski / stručni naziv: magistar/magistra inženjer/inženjerka računarstva (mag.ing.comp.)
• Vrsta resursa: Tekst
• Način izrade datoteke: Izvorno digitalna
• Prava pristupa: Zatvoreni pristup
• Datum i vrijeme pohrane: 2024-10-12 21:51:49