› › ›

通过 SolarWinds 进程执行命令

编辑

通过 SolarWinds 进程执行命令

编辑

检测到可疑的 SolarWinds 子进程 (Cmd.exe 或 Powershell.exe)。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 中等

风险评分: 47

运行频率: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 附加回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

领域：终端
操作系统：Windows
用例：威胁检测
策略：执行
策略：初始访问
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：SentinelOne
数据源：Crowdstrike

版本: 313

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and process.name: ("cmd.exe", "powershell.exe") and
process.parent.name: (
     "ConfigurationWizard*.exe",
     "NetflowDatabaseMaintenance*.exe",
     "NetFlowService*.exe",
     "SolarWinds.Administration*.exe",
     "SolarWinds.Collector.Service*.exe",
     "SolarwindsDiagnostics*.exe"
     )

框架: MITRE ATT&CK^TM

策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考网址：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考网址：https://attack.mitre.org/techniques/T1059/001/
子技术
- 名称：Windows 命令提示符
- ID：T1059.003
- 参考网址：https://attack.mitre.org/techniques/T1059/003/
策略
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：供应链入侵
- ID：T1195
- 参考网址：https://attack.mitre.org/techniques/T1195/
子技术
- 名称：破坏软件供应链
- ID：T1195.002
- 参考网址：https://attack.mitre.org/techniques/T1195/002/

« 通过注册表修改代码签名策略命令提示符网络连接 »