Yksi syy miksi hyökkäys onnistui niin helposti on Windows Defenderin puuttuminen.

## Windows Defender

Windows Defender on Microsoftin oma sisäänrakennettu turvallisuusohjelmisto, joka on suunniteltu suojaamaan Windows-palvelimia ja työasemia erilaisilta tietoturvauhilta. Se on osa Windowsin perusasennusta ja tarjoaa useita tärkeitä toimintoja tietoturvan parantamiseksi.

Windows Defenderin tehtävänä on havaita ja estää hyökkäyksiä, kuten haittaohjelmia tai epäilyttävästi käyttäytyviä prosesseja.

Defender on mahdollista ohittaa mutta se vaatii hyökkääjältä enemmän taitoa ja vähentää hyökkäyksen onnistumismahdollisuuksia.

Nyt Windows Defender on palvelimilla pois päältä. Tehdään IIS1-palvelimella muutos Windows-rekisteriin (registry) joka kytkee antiviruksen päälle.

---

## Windowsin rekisteri

Windowsin rekisteri on tärkeä tietokantajärjestelmä Microsoft Windows -käyttöjärjestelmässä. Se sisältää tietoja käyttöjärjestelmän, ohjelmistojen ja laitteistojen asetuksista ja asetuksista. Rekisteriä käytetään järjestelmän kokoonpanon hallintaan ja tiedon tallentamiseen, jota käyttöjärjestelmä ja sovellukset käyttävät toimiakseen oikein.

Rekisteri on hierarkkinen rakenne, joka koostuu avaimista ja alista, jotka sisältävät tietoja. Jokainen avain voi sisältää muita alihakemistoja ja arvoja. Arvot tallentavat tietoja, kuten käyttäjäasetuksia, laitteistokonfiguraatioita, ohjelmatiedoja ja muita järjestelmän tärkeitä asetuksia.

Rekisteriin pääsee esimerkiksi käyttämällä "regedit" -ohjelmaa, joka tarjoaa käyttäjälle graafisen käyttöliittymän rekisterin selailuun ja muokkaamiseen.

---

## Regedit

Kirjaudu IIS1-palvelimelle RDP:llä kuten kirjauduit toimialueohjaimelle edellisessä moduulissa.

Paina Windows-näppäintä ja kirjoita hakuun "regedit" ja avaa "Registry Editor" ohjelma.

![](sanity:image-cabd2800dea66d9dece9b84308aec1fdec2ec1be-544x673-png)

Avaa avain **HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows Defender\\Real-Time Protection**.

![](sanity:image-a9e09927cbc27f9adcecb008db010dbe6a200d2e-809x265-png)

Klikkaa oikealla "DisableRealtimeMonitoring" avainta ja yritä asettaa sen arvoksi "0".

![](sanity:image-1b12753e600740d2b23600592aa6b795c55468fa-408x172-png)

Huomaat, ettei se onnistu. Jotkut Windows-rekisterin osat on suojattu niin, ettei edes Administrator-tason käyttäjä pysty suoraan muutamaan niitä.

![](sanity:image-f26229a8c8039de03a22e3e1f9482e709acdd13d-495x127-png)

Voit varmentaa tämän klikkaamalla "Real-Time Protection" avainta oikealla ja valitsemalla "Permissions".

![](sanity:image-670c7529ced894b425225825b3f36a198d9b510d-754x398-png)

Administrators -ryhmällä ei ole siis oikeuksia.

![](sanity:image-ff37f568094b15764cf88cfc2d144d238e8409eb-670x458-png)

SYSTEM -käyttäjällä taas on oikeudet. Tutkitaan tätä tarkemmin seuraavassa moduulissa.

Mutta tällä erää jätä regedit auki, paina taas Windows näppäintä ja avaa "Windows Security".

![](sanity:image-0017c40896f570d234ffc9048e8e5c11999eb677-466x213-png)

Kytke "Real-Time Protection" päälle.

![](sanity:image-24595502da40e51f12eeb607526ccad5c5606af6-470x371-png)

Päivitä nyt regedit. Varmista että "DisableRealtimeProtection" arvo on nyt 0.

![](sanity:image-e4fb432616e56f1867a9971696ac44e4ddbea15f-370x207-png)

Jos mietit että miksi saman rekisteriavaimen muutos onnistui yhdellä ohjelmalla (Windows Security) mutta ei toisella (regedit) niin onnittelut! Kysymys on erinomainen ja puhdasta hakkerimentaliteettia, me halutaan aina tietää miksi joku toimii tai ei toimi. Tutkitaan tätä kysymystä heti seuraavassa moduulissa.

---

## Harjoitukset

Tee muutokset ohjeen mukaan ja seuraa niitä regeditillä. Mene lopuksi C: juureen (huom. IIS1-palvelimella, ei DC1) ja aja "Check.ps1".

@exercise 9f90638d2195

@exercise b1a4d1b8ec95


Tämä on skenaario, älä turhaan sulje sitä saman kurssialueen (Skenaario 1) sisällä ettet menetä edistymistäsi. Lisääthän aikaa tarvittaessa. Skenaariolla voi kestää jokunen minuutti käynnistyä, odotathan kärsivällisesti.

Evilcorp - Skenaario 1

Rekisteri, regedit ja Windows Defender

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Rekisteri, regedit ja Windows Defender

Hakkeroinnin oppiminen alkaa tästä