可能的 FIN7 DGA 命令和控制行为
编辑可能的 FIN7 DGA 命令和控制行为
编辑此规则检测网络事件中已知的命令和控制模式。FIN7 威胁组织以使用这种命令和控制技术而闻名，同时在其目标网络中保持持久性。
规则类型: 查询
规则索引:
- packetbeat-*
- auditbeat-*
- filebeat-*
- logs-network_traffic.*
- logs-panw.panos*
严重性: 高
风险评分: 73
每隔: 5 分钟
搜索索引时间范围: now-9m (日期数学格式，另请参阅 附加回溯时间)
每次执行的最大告警数: 100
参考:
标签:
- 用例：威胁检测
- 战术：命令和控制
- 领域：端点
- 数据源：PAN-OS
版本: 106
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
如果此规则在您的环境中识别出良性域名，则可以修改规则中的 destination.domain 字段以包含这些域名。例如：...AND NOT destination.domain:(zoom.us OR benign.domain1 OR benign.domain2)。
规则查询
编辑(event.dataset: (network_traffic.tls OR network_traffic.http) OR
(event.category: (network OR network_traffic) AND type: (tls OR http) AND network.transport: tcp)) AND
destination.domain:/[a-zA-Z]{4,5}\.(pw|us|club|info|site|top)/ AND NOT destination.domain:zoom.us
框架: MITRE ATT&CKTM
-
战术
- 名称：命令和控制
- ID：TA0011
- 参考 URL：https://attack.mitre.org/tactics/TA0011/
-
技术
- 名称：应用层协议
- ID：T1071
- 参考 URL：https://attack.mitre.org/techniques/T1071/
-
技术
- 名称：动态解析
- ID：T1568
- 参考 URL：https://attack.mitre.org/techniques/T1568/
-
子技术
- 名称：域名生成算法
- ID：T1568.002
- 参考 URL：https://attack.mitre.org/techniques/T1568/002/