下载的快捷方式文件

识别从本地网络外部下载的 .lnk 快捷方式文件。这些快捷方式文件通常用于网络钓鱼活动。

规则类型: eql

规则索引:

严重性: 中等

风险评分: 47

每: 5 分钟运行一次

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

版本: 3

规则作者:

规则许可证: Elastic License v2

file where host.os.type == "windows" and event.type == "creation" and file.extension == "lnk" and file.Ext.windows.zone_identifier > 1

框架: MITRE ATT&CK^TM

策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：用户执行
- ID：T1204
- 参考网址：https://attack.mitre.org/techniques/T1204/
子技术
- 名称：恶意文件
- ID：T1204.002
- 参考网址：https://attack.mitre.org/techniques/T1204/002/
策略
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：网络钓鱼
- ID：T1566
- 参考网址：https://attack.mitre.org/techniques/T1566/
子技术
- 名称：鱼叉式网络钓鱼附件
- ID：T1566.001
- 参考网址：https://attack.mitre.org/techniques/T1566/001/
子技术
- 名称：鱼叉式网络钓鱼链接
- ID：T1566.002
- 参考网址：https://attack.mitre.org/techniques/T1566/002/