› › ›

清除 Windows 控制台历史记录

编辑

清除 Windows 控制台历史记录

编辑

识别用户尝试清除控制台历史记录的行为。攻击者可能会清除受感染帐户的命令历史记录，以隐藏入侵期间执行的操作。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

领域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
策略：执行
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：SentinelOne
数据源：Crowdstrike

版本: 313

规则作者:

Austin Songer

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查清除 Windows 控制台历史记录

PowerShell 是系统管理员用于自动化、报表例程和其他任务的主要工具之一。这使得它可以在各种环境中使用，并为攻击者执行代码创造了一种有吸引力的方式。

攻击者可以通过清除 PowerShell 控制台历史记录来试图掩盖他们的踪迹。PowerShell 有两种不同的命令日志记录方式：内置历史记录和由 PSReadLine 模块管理的命令历史记录。此规则查找可以清除内置 PowerShell 日志或删除 ConsoleHost_history.txt 文件的命令的执行。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查其可执行文件是否存在、它们是否位于预期位置以及它们是否使用有效的数字签名进行签名。
识别执行该操作的用户帐户以及该帐户是否应该执行此类操作。
联系帐户所有者并确认他们是否知道此活动。
调查过去 48 小时内与用户/主机关联的其他警报。
验证是否观察到任何其他反取证行为。
调查 SIEM 上的 PowerShell 日志，以确定是否存在攻击者可能试图掩盖的可疑行为。

误报分析

此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

根据分类结果启动事件响应流程。
隔离相关主机以防止进一步的入侵后行为。
调查受感染系统或攻击者使用的系统上的凭据泄露，以确保识别所有受感染的帐户。重置这些帐户和其他可能受感染的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
运行完整的反恶意软件扫描。这可能会发现系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始媒介，并采取措施防止通过相同的媒介再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
确保已实施 PowerShell 审计策略和日志收集，以确保未来的可见性。

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  (
    process.name : ("powershell.exe", "pwsh.exe", "powershell_ise.exe") or
    ?process.pe.original_file_name in ("powershell.exe", "pwsh.dll", "powershell_ise.exe")
  ) and
  (
    process.args : "*Clear-History*" or
    (process.args : ("*Remove-Item*", "rm") and process.args : ("*ConsoleHost_history.txt*", "*(Get-PSReadlineOption).HistorySavePath*")) or
    (process.args : "*Set-PSReadlineOption*" and process.args : "*SaveNothing*")
  )

框架: MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：指标删除
- ID：T1070
- 参考网址：https://attack.mitre.org/techniques/T1070/
子技术
- 名称：清除命令历史记录
- ID：T1070.003
- 参考网址：https://attack.mitre.org/techniques/T1070/003/
策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考网址：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考网址：https://attack.mitre.org/techniques/T1059/001/

« Chkconfig 服务添加清除 Windows 事件日志 »