окажется не в тех руках Иванов Глеб Игоревич и Родченко Александр Михайлович Старшие аналитики SOC в группе исследований и развития технологий мониторинга
платформа для управления и автоматизации различных задач, связанных с IT-инфраструктурой. Она предоставляет организациям возможность эффективно управлять компьютерами, серверами и мобильными устройствами. Задачи: • Развертывание и обновление программного обеспечения • Управление обновлениями безопасности • Развертывание операционных систем • Инвентаризация и управление активами • Мониторинг и отчетность • Удаленное управление клиентами • Управление защитой конечных точек (Windows Defender)
сервер сайта, который является сервером системы сайта. Серверы системы сайта поддерживают роли системы сайта. Роли могут находиться как на основном сервере сайта, так и на других серверах. Основные роли: • Site Server • Site System • SMS Provider • Site Database Server • Distribution point • Management point
копирование сайта Management/distribution points IIS/BITS ROOT\CCM WMI Client classes ROOT\SMS WMI Server classes SCCM Client Применение, состояний, конфигураций, настроек и установка ПО SCCM Console / Powershell Management scripts В Configuration Manager WMI играет одну из фундаментальных ролей. Каждое изменение отправляется через удаленный вызов процедуры (RPC) на SMS-провайдер, который также записывает все в БД MSSQL. Помимо этого клиент SCCM использует WMI для хранения информации, конфигурации и сбора информации об аппаратном/программном обеспечении инвентаризации, используя встроенные провайдеры для сбора информации, требуемой от ОС.
и групп. Наиболее популярными из них являются Network Access Account (NAA) и Client push installation account. • NAA – можно найти в каждом клиентском конфиге. Используется для доступа к ресурсам SCCM, когда хосты не могут использовать свою УЗ для загрузки контента. Например, при развертывании ОС через загрузку среды выполнения предварительной загрузки (PXE). • Client push installation account – входит в группу локальных админов на каждом хосте в домене. Используется при установке клиента на хост.
под ее адреса Смотрим на добавление пользователя в локальную группу SMS Admins К сожалению, по аудиту Windows невозможно понять, кто именно добавил пользователя в группу SMS Admins, так как в поле Subject всегда будет машинная УЗ SCCM.
Trigger Over Engineering Можно написать SQL триггер, который будет нас уведомлять о важных изменениях, в SCCM. Но это достаточно сложно: необходимо знать отношения в базе между объектами и представлениями. Однако, можно воспользоваться богатым материалом от комьюнити Очевидный способ собирать данные с SQL, сравнивать их между собой и искать подозрительные изменения. Это сложно так как SQL на сайт сервере содержит значительный объём информации, отношения между полями, таблицами и представлениями – сложны. Но в хранилище документов можно найти много информации для форензики
делает его легитимным С2-фреймворком для атакующего. • SCCM и атаки на него показывают пример ситуации, когда ВПО может быть определено на одной системе, а исполняться на другой. • На мониторинг SCCM нужны новые инструменты и методы, так как аудит от Microsoft довольно сильно ограничен, поэтому мы рады поделиться с вами нашим инструментом, который вы можете внедрить в свои процессы SOC - https://github.com/gam4er/SCCMInfo SCCM
blurel
eileencodes
geoffreycrofte
thekraken
ammeep
mlcsv
uxyall
bkeepers
mfonobong
helmedeiros
lara
tammyeverts
hannesfritz
![+7 (495) 797-87-00 [email protected] Россия, Москва, 125212 Ленинградское шоссе, д.39А,](https://files.speakerdeck.com/presentations/3dc6594c55a14e6d9513afd868495a8c/slide_25.jpg){kind=link}