Telemetria del Kernel di Windows: Basi di Rilevamento e Difesa

Le moderne minacce informatiche operano spesso in profondità nel sistema operativo, rendendo il monitoraggio user-land insufficiente per una difesa robusta. Comprendere come attingere agli eventi a livello di kernel è essenziale per rilevare attacchi sofisticati prima che compromettano la tua rete. Questo corso fornisce un percorso chiaro, basato su testo, per comprendere la telemetria del kernel di Windows. Transiterai dalla comprensione dell'architettura di base del sistema operativo all'analisi della telemetria di sistema del mondo reale, permettendoti di costruire meccanismi di rilevamento resilienti che bypassano le limitazioni tradizionali della modalità utente. Cosa imparerai: * Comprendere l'architettura fondamentale del kernel di Windows e come viene generata la telemetria; * Esplorare Event Tracing for Windows (ETW) e imparare a configurare i provider per il monitoraggio della sicurezza; * Analizzare le callback del kernel e le tecniche di monitoraggio delle chiamate di sistema utilizzate dagli strumenti di sicurezza moderni; * Identificare le tecniche di evasione comuni e come gli aggressori tentano di oscurare la telemetria del kernel; * Applicare l'analisi strutturata ai log degli eventi del kernel per cercare comportamenti di sistema sospetti. Iniziamo con la terminologia di base e i fondamenti degli interni del sistema operativo. Da lì, progredirai attraverso spiegazioni scritte dettagliate delle origini della telemetria, esaminando strutture di log pratiche e strategie di rilevamento passo dopo passo. Questo corso è progettato per aspiranti analisti di sicurezza, threat hunter e amministratori di sistema che desiderano approfondire le proprie capacità difensive. Non è richiesta alcuna esperienza di programmazione del kernel, poiché costruiamo tutti i concetti da zero. Equipaggiati con le conoscenze fondamentali necessarie per rilevare minacce radicate utilizzando la telemetria del kernel di Windows oggi stesso.