Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries — DedSec Project

Ελληνική έκδοση — Μάθημα 073. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands διατηρούνται στα Αγγλικά όπου αυτό βοηθά την ακρίβεια.

Στόχος του μαθήματος

Σε αυτό το μάθημα εστιάζεις ειδικά στο Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries. Στο τέλος πρέπει να μπορείς να περιγράψεις το security model με δικά σου λόγια, να αναγνωρίζεις τα βασικά failure modes, να σχεδιάζεις ασφαλή test cases και να εξηγείς ποιο evidence χρειάζεται για να στηριχθεί ένα συμπέρασμα.

Θέματα που καλύπτονται

• Windows object/security model Για το Windows object/security model, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Access tokens Για το Access tokens, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• SIDs and groups Για το SIDs and groups, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Privileges Για το Privileges, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Integrity levels Για το Integrity levels, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• UAC Για το UAC, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Services Για το Services, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Registry Για το Registry, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Named pipes and RPC Για το Named pipes and RPC, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Process creation and parentage Στο Process creation and parentage, σύνδεσε τον υψηλού επιπέδου μηχανισμό με process, memory και runtime state. Χρησιμοποίησε harmless samples, debugger/sanitizer ή static analysis σε lab και κατέγραψε root cause, mitigation και observable artifacts.
• DLL loading Για το DLL loading, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• ETW Για το ETW, χαρτογράφησε Windows security principal, token/privileges, object ACL ή service/IPC boundary και το audit/ETW evidence που δείχνει την απόφαση πρόσβασης. Δούλεψε σε disposable Windows VM και έλεγξε effective authority, όχι μόνο configuration text.
• Windows Event Log Στο Windows Event Log, όρισε πρώτα την αναμενόμενη συμπεριφορά και τις telemetry sources που πρέπει να τη δείχνουν. Συσχέτισε identity, process, network και χρόνο, κατέγραψε blind spots και ξεχώρισε observation από inference.
• Safe local review lab Για το Safe local review lab, στο πλαίσιο του Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Ασφάλεια-boundary checklist Για το Ασφάλεια-boundary checklist, στο πλαίσιο του Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.

Μέθοδος ανάλυσης

Χρησιμοποίησε τη Μεθοδολογία Μελέτης για scope, evidence, note-taking και κριτήρια ολοκλήρωσης. Για το Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries, πριν κάνεις οποιοδήποτε test σχεδίασε τα components, σημείωσε πού αλλάζει η εμπιστοσύνη και γράψε μία πρόταση που περιγράφει το security invariant που θέλεις να ελέγξεις.

Καθοδηγούμενο εργαστήριο

Ακολούθησε τη Μεθοδολογία Μελέτης: γράψε expected result πριν το test, άλλαξε μία μεταβλητή κάθε φορά, κράτησε sanitized evidence και κάνε retest μετά το hardening του Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries.

Έλεγχος γνώσεων

• Μπορείς να εξηγήσεις το βασικό trust boundary του Windows Internals — Tokens, Services, Registry, ETW και Security Boundaries χωρίς σημειώσεις;
• Μπορείς να δώσεις ένα failure mode και να πεις ποιο evidence θα το επιβεβαίωνε;
• Μπορείς να ξεχωρίσεις symptom, root cause και compensating control;
• Μπορείς να σχεδιάσεις ασφαλές retest που δεν επεκτείνει το scope;

Πλήρες αγγλικό μάθημα

English Module 073