› › ›

已添加 AdminSDHolder SDProp 排除项

识别对 dsHeuristics 属性的修改，该属性的位用于保存从 SDProp 进程中排除的组的配置。SDProp 将受保护对象的权限与 AdminSDHolder 对象上定义的权限进行比较。如果任何受保护帐户和组的权限不匹配，则会重置受保护帐户和组的权限，以使其与域的 AdminSDHolder 对象的权限匹配，这意味着被排除的组将保持不变。攻击者可以滥用此错误配置来长期访问这些组中的特权帐户。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 高

风险评分: 73

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：持久性
数据源：Active Directory
资源：调查指南
用例：Active Directory 监控
数据源：系统

版本: 212

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查已添加 AdminSDHolder SDProp 排除项

SDProp 进程将受保护对象的权限与 AdminSDHolder 对象上定义的权限进行比较。如果任何受保护帐户和组的权限不匹配，它会重置受保护帐户和组的权限，以使其与域 AdminSDHolder 对象上定义的权限匹配。

dSHeuristics 是一个 Unicode 字符串属性，其中字符串中的每个字符都表示用于确定 Active Directory 行为的启发式方法。

管理员可以通过将字符串的第 16 位 (dwAdminSDExMask) 设置为某个值来排除特权组的 SDProp 进程，该值表示该组。

例如，要排除“帐户操作员”组，管理员会修改字符串，以便将第 16 个字符设置为 1（即，0000000001000001）。

使用此排除项可能会使帐户不受保护，并导致被排除组的特权配置错误，使攻击者能够将帐户添加到这些组中，以保持具有高权限的长期持久性。

此规则匹配 dsHeuristics 对象的更改，其中第 16 位设置为非零值。

可能的调查步骤

确定执行此操作的用户帐户以及该帐户是否应该执行此类操作。
联系帐户和系统所有者，确认他们是否知道此活动。
调查过去 48 小时内与该用户/主机关联的其他告警。
检查 winlog.event_data.AttributeValue 字段中字符串的第 16 位分配的值
帐户操作员 eq 1
服务器操作员 eq 2
打印操作员 eq 4
备份操作员 eq 8 字段值范围为 0 到 f (15)。如果指定了多个组，则值将相加；例如，备份操作员和打印操作员将设置位上的 c 值。

误报分析

虽然可以合法地进行此修改，但这并非最佳实践。任何潜在的良性真阳性 (B-TP) 都应由安全团队进行映射和审查，寻找替代方案，因为这会削弱特权组的安全性。

响应和补救

可以通过将 dSHeuristics 中的 dwAdminSDExMask（第 16 位）设置为 0 来恢复更改。
使用事件响应数据，更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

必须为“审核目录服务更改”日志记录策略配置 (成功)。使用高级审核配置实现日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success)

如果在小于 8.2 的版本的非 elastic-agent 索引（例如 beats）上启用 EQL 规则，则事件将不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

any where event.action in ("Directory Service Changes", "directory-service-object-modified") and
  event.code == "5136" and
  winlog.event_data.AttributeLDAPDisplayName : "dSHeuristics" and
  length(winlog.event_data.AttributeValue) > 15 and
  winlog.event_data.AttributeValue regex~ "[0-9]{15}([1-9a-f]).*"

框架: MITRE ATT&CK^TM

策略
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
子技术
- 名称：域帐户
- ID：T1078.002
- 参考网址：https://attack.mitre.org/techniques/T1078/002/
技术
- 名称：帐户操作
- ID：T1098
- 参考网址：https://attack.mitre.org/techniques/T1098/

« AdminSDHolder 后门已向 Okta 组分配管理员权限 »