« 访问 Outlook 数据文件 通过 SYSTEM 账户进行账户发现命令 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

账户配置为永不过期密码

编辑

账户配置为永不过期密码

编辑

检测启用了“密码永不过期”选项的账户创建和修改。攻击者可以滥用此错误配置以在域中持久存在，并使用具有此属性的受损账户维持长期访问。

规则类型: 查询

规则索引:

  • winlogbeat-*
  • logs-system.*
  • logs-windows.*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：持久性
  • 数据源：Active Directory
  • 资源：调查指南
  • 用例：Active Directory 监控
  • 数据源：系统

版本: 211

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查账户配置为永不过期密码

Active Directory 提供了一个设置，可以防止用户密码过期。启用此设置是不好的做法，并且可能使环境暴露于削弱安全态势的漏洞中，尤其是在这些账户是特权账户时。

此设置通常配置为用户账户可以充当服务账户。攻击者可以滥用这些账户以在域中持久存在，并使用设置了永不过期密码的受损账户维持长期访问。

可能的调查步骤

  • 确定执行此操作的用户账户以及该账户是否应该执行此类操作。
  • 联系账户所有者并确认他们是否了解此活动。
  • 调查过去 48 小时内与用户/源主机关联的其他告警。
  • 检查告警时间范围内账户是否存在可疑或异常行为。

误报分析

  • 此活动不应合法发生。安全团队应解决任何潜在的良性真阳性 (B-TP)，因为此配置可能会危及用户和域。
  • 将用户账户用作服务账户是不好的安全做法，不应在域中允许。安全团队应映射和监控潜在的良性真阳性 (B-TP)，尤其是在账户是特权账户的情况下。对于无法避免使用用户账户的情况，Microsoft 提供了组托管服务账户 (gMSA) 功能，该功能可确保账户密码健壮且定期自动更改。

响应和补救

  • 根据分类结果启动事件响应流程。
  • 审查分配给用户的权限，以确保遵循最小权限原则。
  • 重置账户密码并更新其密码设置。
  • 搜索域中的其他发生情况。
  • 使用 Active Directory PowerShell 模块
  • get-aduser -filter { passwordNeverExpires -eq $true -and enabled -eq $true } | ft
  • 调查受损系统或攻击者使用的系统上的凭据泄露，以确保识别所有受损账户。重置这些账户和其他可能受损的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
  • 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
event.action:"modified-user-account" and winlog.api:"wineventlog" and event.code:"4738" and
  message:"'Don't Expire Password' - Enabled" and not user.id:"S-1-5-18"

框架: MITRE ATT&CKTM

« 访问 Outlook 数据文件 通过 SYSTEM 账户进行账户发现命令 »