已过期或已吊销的驱动程序加载

识别尝试加载已吊销或已过期的驱动程序的事件。攻击者可能会引入存在漏洞的过时驱动程序以在内核模式下获得代码执行权限，或滥用已吊销的证书来签署其驱动程序。

规则类型: eql

规则索引:

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

版本: 5

规则作者:

规则许可证: Elastic License v2

driver where host.os.type == "windows" and process.pid == 4 and
  dll.code_signature.status : ("errorExpired", "errorRevoked")