› › ›

读取多个保管库 Web 凭据

编辑

读取多个保管库 Web 凭据

编辑

Windows 凭据管理器允许您创建、查看或删除用于登录网站、连接的应用程序和网络的已保存凭据。攻击者可能会滥用此功能来列出或转储存储在凭据管理器中的已保存用户名和密码。这也可以在横向移动准备阶段执行。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：凭据访问
数据源：系统

版本: 111

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则（版本 <8.2），则事件将不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

sequence by winlog.computer_name, winlog.process.pid with maxspan=1s

 /* 2 consecutive vault reads from same pid for web creds */

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

框架: MITRE ATT&CK^TM

策略
- 名称：凭据访问
- ID：TA0006
- 参考网址：https://attack.mitre.org/tactics/TA0006/
技术
- 名称：操作系统凭据转储
- ID：T1003
- 参考网址：https://attack.mitre.org/techniques/T1003/
技术
- 名称：来自密码存储的凭据
- ID：T1555
- 参考网址：https://attack.mitre.org/techniques/T1555/
子技术
- 名称：Windows 凭据管理器
- ID：T1555.004
- 参考网址：https://attack.mitre.org/techniques/T1555/004/