› › ›

权限窃取 - 检测到 - Elastic Endgame

编辑

权限窃取 - 检测到 - Elastic Endgame

编辑

Elastic Endgame 检测到权限窃取。点击事件模块列中的 Elastic Endgame 图标或规则参考列中的链接以获取更多信息。

规则类型: 查询

规则索引:

endgame-*

严重性: 高

风险评分: 73

每隔: 10 分钟

搜索索引自: now-15m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 10000

参考: 无

标签:

数据源: Elastic Endgame
用例: 威胁检测
战术: 权限提升

版本: 103

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

此规则配置为生成比所有规则设置的默认每次运行 1000 个告警更多的每次运行的最大告警数。这是为了确保它捕获尽可能多的告警。

重要： 规则的每次运行的最大告警数设置可能会被xpack.alerting.rules.run.alerts.max Kibana 配置设置覆盖，该设置确定 Kibana 告警框架中任何规则生成的最大告警数。例如，如果xpack.alerting.rules.run.alerts.max设置为 1000，则即使此规则自己的每次运行的最大告警数设置得更高，它仍然不会生成超过 1000 个告警。

为了确保此规则可以根据其自己的每次运行的最大告警数设置生成尽可能多的告警，请相应地增加xpack.alerting.rules.run.alerts.max系统设置。

注意： 在无服务器项目中无法更改xpack.alerting.rules.run.alerts.max。

规则查询

编辑

event.kind:alert and event.module:endgame and endgame.metadata.type:detection and (event.action:token_protection_event or endgame.event_subtype_full:token_protection_event)

框架: MITRE ATT&CK^TM

战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 访问令牌操作
- ID: T1134
- 参考 URL: https://attack.mitre.org/techniques/T1134/