← Prehľad cvičení · Predchádzajúce cvičenie · Nasledujúce cvičenie
¶ Cieľ cvičenia
Identifikovať a preskúmať procesy, služby a systémové prostriedky vo Windows.
¶ Postup práce
- Prečítajte si požiadavky a scenár; overte pripravenosť laboratória.
- Vypracujte úlohy v uvedenom poradí a priebežne ukladajte dôkazy.
- Pri každej úlohe porovnajte pozorovanie s očakávaným výsledkom a odpovedzte na otázky v zadaní.
¶ Obsah
- 1 Inštrukcie a scenár
- 2 Identifikácia procesov
- 3 Threads a Handles
- 4 Preskúmanie Windows registrov
- 5 Windows PowerShell
- 6 Vytvorte používateľské účty v OS Windows
- 7 Monitorujte a spravujte systémové prostriedky v systéme Windows
- 8 Záver
¶ 1 Inštrukcie a scenár
¶ Požiadavky
-
Počítač s OS Windows
-
Balík nástrojov SysInternals
https://learn.microsoft.com/sysinternals/downloads/sysinternals-suite -
Windows Debugging Tools for Windows z balíčku Win SDK https://go.microsoft.com/fwlink/p/?linkid=2196241
¶ Inštrukcie a scenár
V tomto laboratórnom cvičení študenti pracujú na počítačoch s OS Windows. Naučíme sa ako pracovať s nástrojmi, ktoré slúžia na prácu s procesmi a službami. Každý študent bude pracovať samostatne.
Toto laboratórne cvičenie vzniklo na základe týchto oficiálnych Netacad labov a ich doplnením:
-
3.0.3 - Identify Running Processes
-
3.2.11 - Exploring Processes, Threads, Handles and Windows Registry
-
3.3.12 - Windows Task Manager
-
3.3.11 - Using Windows PowerShell
-
3.3.10 - Create User Accounts
-
3.3.13 - Monitor and Manage System Resources in Windows
¶ 2 Identifikácia procesov
-
**Stiahnutie nástrojov **
-
Stiahnite si nástroje na prácu s procesmi (45 MB)
- Kliknite na link Sysinternals Suite - Sysinternals
-
Z toho balíka nástrojov budeme používať nasledovné:
-
TCPView (tcpview.exe)
Pozn.: alternatíva je aplikácia ProcessHacker Overview - Process Hacker. Výzorom sa jedná o rovnaký balík, ale ProcessHacker obsahuje dodatočne funkcionalitu ako zobrazenie použitých blokov pamäte v aplikácii a tiež okno pre servisy.
Zaujímavý článok porovnania Process Hacker as an Alternative to Process Explorer and Task Manager. Negatívum tohto nástroja je, že práve zvýšená funkcionialita sa javí ako hrozba a niektoré antivírusové programy blokujú aplikáciu a označujú ako vírus.
Nakoľko v tomto cvičení nejdeme až do takej hĺbky OS Windows aby sme dokázali využiť ProcessHacker a tiež vzhľadom k možnosti zablokovania antivírom, tek tento SW produkt len spomenieme ale nebudeme ho počas cvičenia používať. -
Process Explorer (procexp.exe)
-
-
REPORT: Do reportu z úloh, ktoré nasledujú, dajte vždy vhodný screen shot sledovaného okna, alebo jeho časti, aj s odpoveďami na zadané otázky
-
-
**Zistite aké procesy bežia na zariadení **
-
TCPView
-
V hlavnom okne vidíme bežiace procesy
-
O aké procesy sa jedná?
-
Čo všetko sa môžeme dozvedieť o týchto procesoch?
-
-
Otvorte webový prehliadač
- Vidíme tento proces v okne TCPView?
-
Zavrite prehliadač a pozri čo sa stalo s procesom?
-
-
Proces Explorer
-
V hlavnom okne sú bežiace procesy
-
Vidíme všetky bežiace procesy?
-
Čo všetko môžeme o procesoch zistiť?
-
V nasledujúcich krokoch vyskúšame niektoré možnosti, ktoré tento nástroj ponúka
-
-
Na lokalizáciu niektorého vami vybraného procesu, potiahnite Find Window's Process ikonu( ) do otvoreného okna procesu a proces sa vyhľadá v Process Exploreri
-
Kliknite na proces pravým tlačidlom
-
Aké operácie môžeme robiť s procesom? (Window, Set.., Kil, ...)
-
-
Otvorte príkazový riadok (cmd.exe)
-
Presuňte ikonu Find Window's Process do okna príkazového riadka a nájdite zvýraznený proces príkazového riadka v Process Explorer
-
Proces pre príkazový riadok je cmd.exe. Procesy sú v hierarchickej štruktúre, t.j. jeden proces môže mať ďalší proces ako svojho potomka, alebo iný proces ako nadradený, tzv. rodičovský (parent/child). Rodičovský proces pre cmd.exe je proces explorer.exe, a . potomok je proces conhost.exe
- Pozn.: v prípade Win11 ak ste otvorili miesto cmd aplikáciu terminal, tak je rodičovský proces cmd.exe WindowsTerminal.exe (Win11 má pozmenené správanie cmd nakoľko prišla podpora pre multitabs)
-
Prejdite do okna príkazového riadka. Spustite ping a sledujte zmeny pre proces cmd.exe
-
Čo sa stalo počas procesu ping?
-
-
Keď si prezeráte zoznam aktívnych procesov, zistíte, že detský proces conhost.exe môže byť podozrivý. Ak chcete skontrolovať proces na škodlivý obsah, kliknite pravým tlačidlom myši na súbor conhost.exe a vyberte možnosť Check VirusTotal. Keď sa zobrazí výzva, kliknite na Yes, aby ste vyjadrili súhlas so zmluvnými podmienkami VirusTotal (tie sa vám otvoria v otvorenom okne v predvolenom prehliadači). Potom kliknite na tlačidlo OK pre ďalšiu výzvu
- Pozn.: v prípade práce na Win11 ak ste neotvorili príkazový riadok pomocou cmd ale pomocou aplikácie terminal, tak to nie je child process conhost.exe ale process OpenConsole.exe na rovnakej úrovni (Win11 má pozmenené správanie cmd nakoľko prišla podpora pre multitabs)
-
Rozbaľte okno pre Process Explorer alebo sa posuňte doprava, kým neuvidíte stĺpec VirusTotal. Kliknite na odkaz v stĺpci VirusTotal. Otvorí sa predvolený webový prehliadač s výsledkami týkajúcimi sa škodlivého obsahu pre conhost.exe
-
Kliknite pravým tlačidlom myši na proces cmd.exe a vyberte možnosť Kill Process
- Čo sa stalo s potomkom conhost.exe?
-
-
Správca úloh (CTRL + SHIFT + ESC)
-
Procesy vidíme v hlavnom okne
-
O aké procesy sa jedná?
-
Čo všetko sa môžeme o procese dozvedieť?
-
Upozornenie: Ak nevidíte v zobrazení procesy zoskupené do 3 základných skupín, tak si ich zobrazte cez Zobraziť > ... > ...
-
-
Procesy na pozadí
-
Niektoré procesy nevidíme v oknách a bežia len na pozadí. Sú spustené aplikáciami, ktoré sú práve otvorené
-
Otvorte vlastnosti takéhoto procesu bežiaceho na pozadí
-
Aké vlastnosti môžeme zistiť z tohto výpisu?
-
Upozornenie: Ak vám nezobrazuje procesy podľa typu, treba si danú funkcionalitu aktivovať v správcovi úloh v „Zobraziť“->“Zoskupiť podľa typu“
-
-
-
Procesy systému Windows
-
Procesy Windows sú služby OS Microsoft Windows, ktoré bežia na pozadí
- Aké procesy tu môžeme vidieť?
-
-
Asociácia niektorých procesov
-
Niektoré procesy na pozadí alebo procesy Windows môžu byť spojené s aplikačnými procesmi
-
Otvorte okno príkazového riadku. Všimnite si, že Console Window Host proces sa spustí v časti procesov systému windows
-
Kliknite pravým tlačidlom myši na Console Window Host a vyberte Properties
- Aké je umiestnenie tohto súboru a umiestnenie tohto procesu?
-
Zatvorte okno príkazového riadku
- Čo sa stane s Windows Command Processor a Console Window Host, keď je okno príkazového riadku zatvorené?
-
-
Preskúmajte ďalšie záložky správcu úloh
- Zistite aké informácie poskytujú
-
-
-
**Porovnanie nástrojov **
-
Zo zistených poznatkov o procesných nástrojoch vypíš hlavné vlastnosti týchto nástrojov a vypíš ich hlavné výhody a nevýhody
-
Ktorý nástroj má najviac informácii o procesoch?
-
Ktoré funkcionality majú rozdielne a ktoré spoločné?
-
-
¶ 3 Threads a Handles
-
Preskúmajte Threads
-
Procesy majú jedno alebo viac vlákien. Threads alebo tzv. vlákna sú nezávislé bežiace úlohy, na ktoré je rozdelený program
-
Otvorte Proces Explorer (procexp.exe)
- Zapni príkazový riadok
-
Nájdite ho v Process Exploreri a kliknite pravým a vyberte vlastnosti
-
Vo vlastnostiach vyberte okno threads
-
Upozornenie: Ak sa vám zobrazí okno upozornenia, treba si doinštalovať Windows Debugging Tools for Windows v balíčku Win SDK. Link na stiahnutie: https://go.microsoft.com/fwlink/p/?linkid=2196241 (z daného balička stačí inštalovať „Debugging Tools for Windows“)
-
Poznámka: Alebo môžete použiť 32 bit verziu Process Explorera, nevyžaduje WDT
-
REPORT: Spravte screen shot okna threads do reportu a odpovedzte na otázku: Aké informácie sa môžeme z daného výpisu v okne dozvedieť?
-
-
-
-
Preskúmajte Handles
-
Handles - identifikátory sú špeciálne objekty, ktoré operačný systém používa na správu zdrojov. Tieto identifikátory sú kľúčové pre efektívne riadenie zdrojov v operačnom systéme a umožňujú programom bezpečne a efektívne pracovať s
rôznymi objektami a zdrojmi. Využívajú sa, keď nejaký program/sotvér, sa odkazuje na blok pamäti, súbor, okno, alebo iný objekt manažovaný iným systémov.-
Niekoľko príkladov na pochopenie významu handles:
- Súborové identifikátory: Keď program otvorí súbor, operačný systém mu priradí identifikátor súboru. Tento identifikátor sa používa na čítanie, zápis alebo zatvorenie súboru. Napríklad, textový editor môže mať otvorené viaceré dokumenty naraz, pričom každý dokument má svoj vlastný identifikátor.
- Identifikátory okien: Ak program vytvára grafické užívateľské rozhranie (GUI), každé okno alebo dialógové okno má svoj vlastný identifikátor. Tieto identifikátory sa používajú na manipuláciu s oknami, ako je ich
zobrazenie, skrytie alebo zmena veľkosti. Napríklad, webový prehliadač môže mať otvorených viacero Kariet, pričom každá karta má svoj vlastný identifikátor
-
Označte podproces príkazového riadka conhost.exe
-
V Process Exploreri vyberte v hornom menu View > Lower Pane View >
Handles na zobrazenie handles príslušných s procesom conhost.exe- REPORT: Spravte screen shot do reportu a prezrite si, a stručne popíšte na čo tieto handles odkazujú.
-
-
¶ 4 Preskúmanie Windows registrov
Registre v systéme Windows sú centrálna, hierarchická databáza, ktorá spravuje zdroje a ukladá konfiguračné nastavenia pre aplikácie a samotný operačný systém. Niekoľko príkladov, na čo sa registre používajú:
- Konfigurácia hardvéru: Registre obsahujú informácie o pripojených zariadeniach, ako sú tlačiarne, klávesnice a myši. Napríklad, keď pripojíme novú tlačiareň, jej nastavenia sa uložia do registrov, aby ju systém mohol správne rozpoznať a používať.
- Nastavenia používateľských profilov: Každý používateľský účet má svoje vlastné nastavenia uložené v registroch, ako sú preferencie vzhľadu, nastavenia aplikácií a prístupové práva. Napríklad, ak si zmeníme tapetu na pracovnej ploche, táto informácia sa uloží do registrov.
- Konfigurácia aplikácií: Aplikácie ukladajú svoje nastavenia do registrov, aby mohli pri spustení načítať svoje predchádzajúce konfigurácie. Napríklad, textový editor môže ukladať informácie o posledných otvorených súboroch alebo preferovaných fontoch.
- Systémové nastavenia: Registre obsahujú dôležité systémové nastavenia, ktoré ovplyvňujú výkon a správanie operačného systému. Napríklad, nastavenia týkajúce sa správy pamäte alebo sieťových pripojení sú uložené v registroch.
-
**Zobrazte registre systému Windows **
-
Klikni na štart, vyhľadajte regedit a vyberte Registry Editor
-
Z registrov nezistíme, čo sa v nich presne nachádza treba čerpať z teoretických poznatkov
-
Skúste pomocou internetu zistiť, čo sa v priečinkoch nachádza a načo ich je možné využiť
-
Práca v skupine: Rozdelíme sa do 5 skupín, a každá skupina preskúma jeden priečinok s registrami, a podá výsledok prieskumu aj s nejakým konkrétnym príkladom
- REPORT: Ak študent pracuje doma sám, vyberie si jeden priečinok, a spracuje časť z neho samostatne, ktorá ho zaujme, spraví screen shot a popíše využitie.
-
-
Pri prvom otvorení nástroja Process Explorer ste prijali jeho EULA (licenčnú zmluvu). Prejdite na EulaAccepted register kľúča pre Process Explorer
- Kliknutím vyberte Process Explorer v HKEY_CURRENT_USER > Software > Sysinternals > Process Explorer. Prejdite nadol a nájdite kľúč EulaAccepted. Aktuálne hodnota pre register kľúča EulaAccepted je 0x00000001(1)
-
Dvakrát kliknite na register kľúča EulaAccepted. Aktuálne je hodnota nastavená na 1. Hodnota 1 označuje, že EULA bola akceptovaná používateľom
-
Zmeňte hodnotu 1 na 0 pre Value data. Hodnota 0 znamená, že EULA nebola prijatá. Kliknite na tlačidlo OK pre pokračovanie
-
REPORT: Spravte screen shot okna, aká je hodnota pre tento register kľúča v stĺpci "Data".
-
Zavrite a znovu otvorte Registry Editor, a presvedče sa, že hodnota 0 sa skutočne uložila
-
-
Otvorte Process Explorer. Prejdite do priečinka, v ktorom je SysInternals. Otvorte priečinok SysInternalsSuite > otvorte procexp.exe
- REPORT: Keď otvoríte Process Explorer, čo je možné pozorovať (s ohľadom na licenčné podmienky)? Spravte screen shot a odpovedzte na otázku
-
¶ 5 Windows PowerShell
V nasledujúcich častiach sú potrebné admin práva, pracujete na svojich PC. Na PC v laboch KIS nemáte admin práva.
PowerShell je výkonný nástroj v OS Windows, ktorý umožňuje automatizáciu a správu konfigurácií v OS Windows. Je to príkazová konzola a zároveň aj skriptovací jazyk. PowerShell kombinuje tradičné príkazy príkazového riadku (cmdlets) s výkonnými skriptovacími schopnosťami, čo umožňuje používateľom vykonávať komplexné úlohy efektívne a rýchlo.
Kľúčové vlastnosti PowerShellu:
- Cmdlets: Malé, špecializované príkazy, ktoré umožňujú/dovoľujú vykonávať konkrétne úlohy (napr. správa súborov, procesov, služieb). Umožniť = dovoliť je v angličtine slovo "let" resp. "lets", a z toho názov command-lets, resp. skratka cmdlets.
- Skriptovanie: Umožňuje vytvárať skripty na automatizáciu opakujúcich sa úloh.
- Objektovo-orientovaný prístup: Pracuje s objektmi, čo umožňuje jednoduchšiu manipuláciu s dátami.
- Integrácia s .NET: Využíva .NET framework, čo zvyšuje jeho flexibilitu a možnosti rozšírenia.
- Vzdialená správa: Umožňuje správu vzdialených systémov cez sieť. V tejto časti cvičenia budete používať konzolu na vykonanie niektorých príkazov, ktoré sú dostupné v príkazovom riadku a aj v PowerShell.
REPORT: Do reportu vložte vždy screen shot, v ktorom bude vidieť výpis po zadaní príkazov v cmd aj v PowerShell, a odpoviete na všetky zadané otázky
-
Pristúp ku konzole PowerShell
-
Kliknite na tlačidlo Štart. Vyhľadajte a vyberte powershell
-
Kliknite na tlačidlo Štart. Vyhľadajte a vyberte príkazový riadok
-
-
Preskúmajte príkazový riadok a príkazy v PowerShell
-
Zadajte príkaz dir v obidvoch oknách
- Aké sú výstupy príkazu dir?
-
Skúste iný príkaz, ktorý ste použili v príkazovom riadku, napríklad ping, cd a ipconfig
- Aké sú výsledky?
-
-
Preskúmajte cmdlets
-
Príkazy prostredia PowerShell, cmdlets, sú konštruované vo forme reťazca sloveso-podstatné meno. Na identifikáciu príkazu pre PowerShell na zoznam podadresárov a súborov v adresári zadajte Get-Alias dir v PowerShell-i
-
Na čo je PowerShell príkaz pre dir?
-
Ak chcete získať podrobnejšie informácie o cmdletoch, vyhľadajte na internete výraz Microsoft powershell cmdlets
-
-
-
Preskúmajte príkaz netstat pomocou prostredia PowerShell
-
Vo výzve(prompt) prostredia PowerShell zadajte netstat -h, aby ste videli možnosti dostupné pre príkaz netstat
-
Ak chcete zobraziť smerovaciu tabuľku s aktívnymi cestami, zadajte do výzvy netstat -r
- Ktorá IP adresa je bránou?
-
Otvorte a spustite druhý PowerShell so zvýšenými oprávneniami. Kliknite na tlačidlo Štart. Vyhľadajte PowerShell a kliknite pravým tlačidlom na Windows PowerShell a vyberte Spustiť ako správca. Kliknutím na tlačidlo Áno povolíte vytváranie tejto aplikácie zmeny na vašom zariadení
-
Príkaz netstat môže tiež zobraziť procesy spojené s aktívnymi pripojeniami TCP. Po výzve zadajte netstat -abno
-
Otvorte správcu úloh. Prejdite na kartu podrobnosti. Kliknite na nadpis PID, aby boli PID v poradí
-
Vyberte jeden PID z výsledkov netstat -abno. V tomto príklade sa používa PID 756
-
Nájdite vybraný PID v správcovi úloh. Kliknutím pravým tlačidlom myši na vybraný PID v správcovi úloh otvoríte v dialógovom okne vlastnosti, kde nájdete ďalšie informácie
- Aké informácie môžete získať na karte Podrobnosti a v dialógovom okne Vlastnosti pre vybratý PID?
-
-
Vyprázdnenie koša pomocou PowerShell-u
Príkazy PowerShell-u môžu zjednodušiť správu veľkej počítačovej siete. Napríklad, ak by ste chceli implementovať nové bezpečnostné riešenie na všetky servery v sieti, môžete použiť príkaz PowerShell-u alebo skript na implementáciu a overenie spustenia služieb. Môžete tiež spustiť príkazy PowerShell-u pre zjednodušenie akcie, ktorých vykonanie by vyžadovalo viacero krokov pomocou nástrojov grafickej pracovnej plochy systému Windows.-
Otvorte Kôš. Overte si, či existujú položky, ktoré možno natrvalo odstrániť z počítača. Ak nie, obnovte tieto súbory
-
Ak v koši nie sú žiadne súbory, vytvorte niekoľko súborov, napríklad textový súbor pomocou programu Poznámkový blok, a umiestnite ich do koša
-
V konzole PowerShell zadajte po výzve clear-recyclebin
-
Overte, či obsah koša je prázdny
-
-
Analýza logov v systéme Windows
- Najprv pomocou PowerShell:
-
Zistiť záznamy udalostí z rôznych logov je možné pomocou príkazu
Get-EventLog -LogName ..., pričom ako argument je potrebné zvoliť aký typ
logov nás zaujíma -
Použite dva príkazy a analyzujte ich výstup:
Get-EventLog -LogName Security -Newest 10 Get-EventLog -LogName System -Newest 10- Security - znamená, že chceme získať logy týkajúce sa
bezpečnostných udalostí - System - - znamená, že chceme získať logy týkajúce sa systémových
udalostí - znamená, že chceme zobraziť 10 najnovších záznamov
- Následne môžete použiť príkazy aj pred prepínača -Newest
- Security - znamená, že chceme získať logy týkajúce sa
-
REPORT: Vložte do reportu výstupy z okna po zadaní uvedených dvoch príkazov
-
- Teraz použite Event Viewer:
- Pre zobrazenie logov v systéme Windows pomocou GUI môžete použiť Event
Viewer (Prehliadač udalostí). Tento nástroj, okrem iného, umožňuje efektívne
monitorovať a analyzovať udalosti v systéme Windows bez potreby príkazového
riadku.-
Otvorte Štart menu, vyhľadajte Event Viewer a spustite ho.
-
Prejdite do Windows Logs, v ľavom paneli rozbaľte sekciu Windows Logs.
-
Vyberte typ logu:
- System pre systémové logy
- Application pre aplikačné logy
- Security pre bezpečnostné logy.
-
Prezrite si logy:
- V strednom paneli sa zobrazia záznamy udalostí.
- Môžete ich filtrovať, triediť a podrobne prezerať kliknutím na
jednotlivé záznamy.
-
REPORT: Nájdite aspoň jeden log, ktorý bude mať vyššiu závažnosť,
a spravte screen shot okna do reportu, a napíšte čo vás na tomto
logu zaujalo.
-
- Pre zobrazenie logov v systéme Windows pomocou GUI môžete použiť Event
- Najprv pomocou PowerShell:
¶ 6 Vytvorte používateľské účty v OS Windows
Vykonávate na svojich PC.
Vypracujte zadanie RBI_LAB02-Windows-Netacad 3.3.10 Lab - Create User Accounts. Zadanie je prebraté bez zmeny z kurzu Cisco CyberOps na Netacade, preto je napísané v anglickom jazyku a neprekladáme ho.
¶ Ciele
V tomto cvičení budete vytvárať a upravovať používateľské účty v systéme Windows.
- Časť 1: Vytvorenie nového miestneho používateľského účtu
- Časť 2: Prehľad vlastností používateľských účtov
- Časť 3: Úprava lokálnych používateľských účtov
¶ Potrebné prostriedky
- Počítač so systémom Windows
¶ Inštrukcie
¶ 1. Vytvorenie nového miestneho používateľského účtu
REPORT: Vložte do reportu screen shot, s vytvoreným používateľom tak, aby meno konta bolo v tvare vášho mena a priezviska, presnejšie "PriezviskoMeno". Do reportu vložte aj odpovede na zadané otázky v tejto časti.
- Otvorte nástroj User Account Tool.
- Prihláste sa do počítača so systémom Windows pomocou konta správcu. V tomto príklade sa používa účet CyberOpsUser.
- Kliknite na tlačidlo Start > vyhľadajte Control Panel. Vyberte položku User Accounts v zobrazení malých ikon. Ak chcete zmeniť zobrazenie, vyberte položku Small icons v zozname Zobrazenie podľa.
- Vytvorenie používateľského konta.
-
V okne User Accounts kliknite na položku Manage another account.
-
V okne Manage Accounts kliknite na položku Add a new user in PC settings.
-
V okne Settings kliknite na položku Add someone else to this PC.
Pozn.: Win11 otvorí nové okno kde treba kliknúť na Add account a následne je postup rovnaký. Dôvod je že pri Win11 (aj Win10) sa niektoré prípady použitia staršej verzie Win presunuli do nového menu (žiaľ nie komplet a otázne je či vôbec niekedy sa presunie všetko do nového menu). -
V okne How will this person sign in? kliknite na položku I don't have this person's sign-in information.
-
V otvorenom okne Let's create your account kliknite na položku Add a user without a Microsoft account.
-
V okne Create an account for this PC zadajte potrebné informácie na vytvorenie nového používateľského konta s názvom User1. Kliknutím na tlačidlo Next vytvorte nové používateľské konto.
- Otázka: Aký typ používateľského účtu ste práve vytvorili?
-
Pokúste sa prihlásiť do novovytvoreného používateľského účtu. Malo by sa to podariť.
-
Prejdite do priečinka C:\Users. Kliknite pravým tlačidlom myši na priečinok User1 a vyberte položku **Properties **a potom kartu Security.
- Otázka: Ktoré skupiny alebo používatelia majú plnú kontrolu nad týmto priečinkom?
-
Otvorte priečinok, ktorý patrí skupine CyberOpsUser. Kliknite pravým tlačidlom myši na priečinok a kliknite na kartu Properties.
- Boli ste schopní získať prístup k priečinku? Vysvetlite.
-
Odhláste sa z účtu User1. Prihláste sa späť ako CyberOpsUser.
-
Prejdite do priečinka C:\Users. Kliknite pravým tlačidlom myši na priečinok a vyberte položku Properties. Kliknite na kartu Security.
- Otázka: Ktoré skupiny alebo používatelia majú plnú kontrolu nad týmto priečinkom?
-
¶ 2. Prehľad vlastností používateľských účtov
Túto čast viete vyskúšať len na Windows verzii Pro (školské PC majú túto veriu Windows)
REPORT: Do reportu vložte screen shot členstva daného používateľa v skupine, a odpovede na otázky. Ak vo vašej verzii OS sú kroky postupu iné - spravte screen shoty z postupu pre váš prípad.
Stiahneme a nainštalujeme VirtualBox
Pre správnu funkciu treba mať VirtualBox v major verzii aspoň 7 (7.x.x) nakoľko export obrazov VM bol robený vo VirtualBox 7. Pri práci s VirtualBox nižšej ako 7 nebude fungovať import a preto je nutné aktualizovať VirtualBox.
-
-
Kliknite na tlačidlo Start > Vyhľadajte položku Control Panel > System and Security > Vyberte položku Administrative Tools > Vyberte položku Computer Management.
-
Vyberte položku Local Users and Groups. Kliknite na priečinok Users.
-
Kliknite pravým tlačidlom myši na položku User1 a vyberte položku Properties.
-
Kliknite na kartu Member Of.
- Otázka: Ktorej skupiny je User1 členom?
-
Kliknite pravým tlačidlom myši na účet CyberOpsUser a vyberte položku Properties.
- Otázka: Ktorej skupiny je tento používateľ členom?
-
¶ 3. Úprava lokálnych používateľských účtov
REPORT: Do reportu vložte screen shot zo zmeny typu daného používateľského účtu, a odpovede na otázky. Ak vo vašej verzii OS sú kroky postupu iné - spravte screen shoty z postupu pre váš prípad.
- Zmena typu účtu.
- Prejdite do Control Panel a vyberte položku User Accounts. Kliknite na položku Manage another account. Vyberte User1.
- V okne Change an Account kliknite na účet User1. Kliknite na položku Change the account type.
- Vyberte prepinač Administrator. Kliknite na tlačidlo Change Account Type.
- Teraz má účet User1 práva správcu.
- Prejdite do Control Panel > System and Security > Administrative Tools > Computer Management. Kliknite na položku Local Users and Groups> Users.
- Kliknite pravým tlačidlom myši na položku User1 a vyberte Properties. Kliknite na kartu Member Of.
- Otázka: Do ktorých skupín patrí User1?
- Vyberte Administrators a kliknite na Remove, aby ste User1 odstránili zo skupiny Administrátori. Kliknutím na tlačidlo OK pokračujte.
- Odstránenie účtu.
-
Ak chcete odstrániť účet, kliknite pravým tlačidlom myši na položku User1 vyberte položku Delete.
-
Kliknutím na tlačidlo OK potvrďte vymazanie.
- Otázka: Aký je iný spôsob vymazania používateľského účtu?
-
¶ Otázky na zamyslenie
- Prečo je dôležité chrániť všetky účty silnými heslami?
- Prečo by ste mali vytvoriť používateľa so štandardnými oprávneniami?
¶ 7 Monitorujte a spravujte systémové prostriedky v systéme Windows
Vykonávate na svojich PC.
Vypracujte zadanie RBI_LAB02-Windows-Netacad 3.3.13 Lab - Monitor and Manage System Resources in Windows. Zadanie je prebraté bez zmeny z kurzu Cisco CyberOps na Netacade, preto je napísané v anglickom jazyku.
REPORT: Do reportu vložte screen shoty s výsledkami z každej časti a odpovede na otázky. Ak vo vašej verzii OS sú kroky postupu iné - spravte screen shoty z celého postupu pre váš prípad.
¶ Ciele
V tomto cvičení budete používať nástroje na správu na monitorovanie a správu systémových prostriedkov systému Windows.
- Časť 1: Spustenie a zastavenie služby Routing and Remote Access service
- Časť 2: Práca v nástroji Computer Management Utility
- Časť 3: Konfigurácia Administrative Tools
¶ Odporúčané zdroje
- Počítač so systémom Windows a prístupom na internet
¶ Inštrukcie
¶ 1. Spustenie a zastavenie služby Routing and Remote Access service
Preskúmate, čo sa stane, keď sa služba zastaví a potom spustí. V tejto časti použijete ako príklad služby smerovanie a vzdialený prístup. Táto služba umožňuje miestnemu zariadeniu stať sa smerovačom alebo serverom vzdialeného prístupu.
-
-
Prejdite do Control Panel > kliknite na položku Network and Sharing Center.
Poznámka: Ak je Control Panel nastavený na možnosť View by: Category, zmeňte ju na View by: Large icons alebo View by: Small icons. Toto cvičenie predpokladá, že používate jednu z týchto možností.
-
Kliknite na Change adapter settings v ľavom podokne. Zmenšite veľkosť okna Network Connections a nechajte ho otvorené.
-
Prejdite do Administrative Tools. (Prejdite na Control Panel > Kliknite na Administrative Tools)
-
V okne Administrative Tools, dvakrát kliknite na ikonu Performance Monitor.
-
V okne Performance Monitor a uistite, že je zvýraznená položka Performance Monitor v časti Monitoring Tool v ľavom podokne. Kliknutím na ikonu Freeze Display (pause button) zastavte nahrávanie.
-
Kliknutím pravým tlačidlom myši na graf a výberom možnosti **Clear **vymažte graf. Toto okno nechajte otvorené.
-
Prejdite do Administrative Tools a vyberte položku Services.
-
Rozšírte šírku okna Services tak, aby ste mali prehľad o obsahu. V pravom podokne rolujte nadol, kým neuvidíte službu Routing and Remote Access. Dvakrát kliknite na položku Routing and Remote Access.
-
V okne Routing and Remote Access Properties (Local Computer) sa otvorí okno. V rozbaľovacom poli Startup type vyberte položku Manual a potom kliknite na tlačidlo Apply.
Tlačidlo Start je teraz aktívne. Na tlačidlo Start zatiaľ neklikajte. Toto okno nechajte otvorené.
-
Prejdite do okna Performance Monitor. Kliknutím na ikonu Unfreeze Display spustite nahrávanie.
-
Kliknite na okno Routing and Remote Access Properties (Local Computer). Ak chcete spustiť službu, kliknite na tlačidlo Start. Otvorí sa okno s ukazovateľom priebehu.
-
V okne Routing and Remote Access Properties (Local Computer) je teraz aktívne tlačidlo Stop a Pause. Toto okno nechajte otvorené.
-
Prejdite do okna Network Connections. Stlačením funkčného tlačidla F5 obnovte obsah.
- Otázka: Aké zmeny sa zobrazia v okne po spustení služby Routing and Remote Access?
-
Prejdite do okna Routing and Remote Access Properties (Local Computer) a kliknite na tlačidlo Stop. Poznámka: Ak je tlačidlo Stop označená sivou farbou, kliknite na tlačidlo Apply a zmeňte stav služby.
-
Prejdite do okna Network Connections.
- Otázka: Aké zmeny sa zobrazia v pravom paneli po zastavení služby Smerovanie a vzdialený prístup?
-
Prejdite do okna Performance Monitor a kliknite na ikonu Freeze Display, čím zastavíte nahrávanie
- Otázka: Ktoré počítadlo je v grafe zaznamenané najviac (nápoveda: pozrite sa na farbu grafu a farbu počítadla)?
-
Kliknite na rozbaľovaciu ponuku Change graph type a vyberte položku Report.
-
Zobrazenie sa zmení na zobrazenie správy.
- Otázka: Aké hodnoty zobrazuje počítadlo?
-
Kliknite na okno Routing and Remote Access Properties (Local Computer). V poli Startup type vyberte možnosť **Disabled **a kliknite na tlačidlo OK.
-
Kliknite na okno Services.
- Otázka: Aký je stav a typ spustenia pre smerovanie a vzdialený prístup?
-
Kliknite na okno Performance Monitor. Kliknutím na ikonu Unfreeze Display spustite nahrávanie.
-
Zatvorte všetky otvorené okná, ktoré ste otvorili počas kroku 1 tohto cvičenia.
-
¶ 2. Práca v nástroji Computer Management Utility
Computer Management sa používa na správu miestneho alebo vzdialeného počítača. Nástroje v tomto nástroji sú rozdelené do troch kategórií: systémové nástroje, úložisko a služby a aplikácie.
-
-
Kliknite na položku Control Panel > Administrative Tools. Vyberte položku Computer Management.
-
V okne Computer Management rozbaľte tri kategórie kliknutím na šípku vedľa položky System Tools.
-
Kliknite na šípku vedľa položky Event Viewer a potom kliknite na šípku vedľa položky Windows Logs. Vyberte položku System.
-
Otvorí sa okno Event Properties pre prvú udalosť. Kliknutím na tlačidlo so šípkou nadol vyhľadajte udalosť pre Routing and Remote Access. Mali by ste nájsť štyri udalosti, ktoré popisujú poradie spustenia a zastavenia služby Routing and Remote Access.
- Otázka: Aké sú opisy každej zo štyroch udalostí?
-
Zatvorte všetky otvorené okná.
-
¶ 3. Konfigurácia Administrative Tools
Vo zvyšku tohto cvičenia budete konfigurovať funkcie nástroja Advanced Administrative Tool a sledovať, ako to ovplyvňuje počítač.
-
-
Kliknite na položku** Control Panel** > Administrative Tools > Performance Monitor. Otvorí sa okno Performance. Rozbaľte položku Data Collector Sets. Kliknite pravým tlačidlom myši na položku **User Defined **a vyberte New > Data Collector Set.
-
Otvorí sa okno Create new Data Collector Set. Do poľa Name zadajte Memory Logs. Vyberte prepínač Create manually (Advanced) a kliknite tlačidlo** Next**.
-
V okne What type of data do you want to include? zaškrtnite políčko **Performance counter **a potom kliknite Next.
-
V okne Which performance counters would you like to log? kliknite Add.
-
V zozname dostupných počítadiel nájdite a rozbaľte položku Memory. Vyberte položku Available MBytes a kliknite Add>>.
-
V pravom paneli by sa malo zobraziť počítadlo Available MBytes. Kliknite na tlačidlo OK.
-
Nastavte pole Sample interval field na 4 seconds. Kliknite na tlačidlo Next.
-
Na obrazovke Where would you like the data to be saved? kliknite na tlačidlo Browse.
-
V okne Browse For Folder vyberte disk (C:), ktorý je Local Disk (C:). Vyberte položku PerfLogs a kliknite na tlačidlo OK.
-
Otvorí sa okno Where would you like the data to be saved? s informáciami o adresári, ktorý ste vybrali v predchádzajúcom kroku. Kliknite na tlačidlo Next.
-
V okne Create the data collector set? kliknite na tlačidlo Finish.
-
Rozbaľte položku User Defined a vyberte položku Memory Logs. Kliknite pravým tlačidlom myši na položku Data Collector01 a vyberte položku Properties.
-
V okne DataCollector01 Properties zmeňte pole Log format: na Comma Separated.
-
Kliknite na kartu File.
- Otázka: Aký je úplný názov cesty k súboru príkladu?
-
Kliknite na tlačidlo OK.
-
Vyberte ikonu Memory Logs v ľavom podokne okna Performance Monitor. Kliknutím na ikonu zelenej šípky spustite súbor na zber údajov. Všimnite si, že zelená šípka je umiestnená v hornej časti ikony Memory Logs.
-
Ak chcete počítač prinútiť, aby použil časť dostupnej pamäte, otvorte a zatvorte prehliadač.
-
Kliknutím na ikonu čierneho štvorca zastavíte súbor na zber údajov.
- Otázka: Akú zmenu ste zaznamenali v prípade ikony Pamäťové protokoly?
-
Kliknite na tlačidlo Start > Computer a kliknite na drive C: > PerfLogs. Vyhľadajte priečinok, ktorý začína názvom vášho počítača, za ktorým nasleduje časová značka, v príklade DESKTOP-NDFE14H_20170514-000001. Dvakrát kliknite na priečinok, aby ste ho otvorili, a potom dvakrát kliknite na súbor DataCollector01.csv.Ak sa zobrazí výzva, kliknite na tlačidlo Continue, aby ste povolili prístup k priečinku.**
**
**
**-
Poznámka: Ak sa zobrazí hlásenie Windows cannot open the file: vyberte prepínač Select a program from a list of installed programs > OK > Notepad > OK.
-
Otázka: Čo ukazuje stĺpec najviac vpravo?
-
-
Zatvorte súbor DataCollector01.csv a okno s priečinkom PerfLogs.
-
Vyberte okno Performance Monitor. Kliknite pravým tlačidlom myši na položku Memory Logs > Delete.
-
Otvorí sa okno Performance Monitor > Confirm Delete. Kliknite Yes.
-
Otvorte priečinok jednotky C: > PerfLogs. Kliknite pravým tlačidlom myši na priečinok, ktorý bol vytvorený na uloženie súboru protokolu pamäte, a potom kliknite na tlačidlo** Delete**.
-
Otvorí sa okno Odstrániť priečinok. Kliknite na tlačidlo Yes.
-
Zatvorte všetky otvorené okná.
-
¶ 8 Záver
V cvičení sme sa naučili základy identifikáciu a analýzu procesov v OS Windows. Naučili sme sa načo sú registre a ako ich analyzovať a modifikovať. Vyskúšali sme powershell ako nástroj na automatizáciu úloh a správu konfigurácie. Na záver sme vytvorili používateľa a prakticky sme vyskúšali monitorovať a spravovať prostriedky v OS Windows.
Zistenia:
-
Windows register je centralizovaná hierarchická databáza, ktorá ochováva konfiguráciu a nastavenia operačného systému
-
Powershell je nástroj na automatizáciu úloh a správu konfigurácie
-
Správca úloh je nástroj pre správu a monitoring procesov a zdrojov v systréme Windows
¶ Otázky
REPORT: Spracujte do reportu odpovede na zadané otázky
-
Prečo je dôležité, aby SOC analytik chápal, ako pracovať v správcovi úloh?
-
Pomocou internetu, objavte príkazy, ktoré by ste mohli použiť na zjednodušenie úloh bezpečnostného analytika. Zaznamenajte svoje zistenia.
-
Urobte menší výzkum a nájdite ďalšie programy/nástroje pre monitoring/správu/analýzu prostriedkov OS Windows.
-
Kde sú umiestnené logy OS Windows? Aké majú kategórie?
¶ Čo odovzdať
- Použité prostredie a adresy laboratórnych zariadení.
- Odpovede na otázky a výsledky úloh zo zadania.
- Podstatné výstupy, snímky obrazovky alebo úryvky logov s vysvetlením, čo dokazujú.
- Stručný záver: čo ste zistili, čo nefungovalo a ako ste problém riešili.
← Prehľad cvičení · Predchádzajúce cvičenie · Nasledujúce cvičenie