包含 Windows Defender 篡改功能的 PowerShell 脚本

编辑

包含 Windows Defender 篡改功能的 PowerShell 脚本

编辑

识别包含攻击者可能滥用来禁用 Windows Defender 功能的 cmdlet 和参数的 PowerShell 脚本。攻击者可以篡改防病毒软件以降低在执行其有效负载时被检测到的风险。

规则类型: 查询

规则索引:

winlogbeat-*
logs-windows.powershell*

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
策略: 防御规避
数据源: PowerShell 日志
规则类型: BBR

版本: 103

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

必须启用PowerShell 脚本块日志记录日志记录策略。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Administrative Templates >
Windows PowerShell >
Turn on PowerShell Script Block Logging (Enable)

通过注册表实施日志记录策略的步骤

reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1

规则查询

编辑

event.category: "process" and host.os.type:windows and
(
  powershell.file.script_block_text: "Set-MpPreference" and
  powershell.file.script_block_text: (
    DisableArchiveScanning or DisableBehaviorMonitoring or
    DisableIntrusionPreventionSystem or DisableIOAVProtection or
    DisableRemovableDriveScanning or DisableBlockAtFirstSeen or
    DisableScanningMappedNetworkDrivesForFullScan or
    DisableScanningNetworkFiles or DisableScriptScanning or
    DisableRealtimeMonitoring or LowThreatDefaultAction or
    ModerateThreatDefaultAction or HighThreatDefaultAction
  )
)

框架: MITRE ATT&CK^TM

策略
- 名称: 防御规避
- ID: TA0005
- 参考网址: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 削弱防御
- ID: T1562
- 参考网址: https://attack.mitre.org/techniques/T1562/
子技术
- 名称: 禁用或修改工具
- ID: T1562.001
- 参考网址: https://attack.mitre.org/techniques/T1562/001/
策略
- 名称: 执行
- ID: TA0002
- 参考网址: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 命令和脚本解释器
- ID: T1059
- 参考网址: https://attack.mitre.org/techniques/T1059/
子技术
- 名称: PowerShell
- ID: T1059.001
- 参考网址: https://attack.mitre.org/techniques/T1059/001/

« 包含网络摄像头视频捕获功能的 PowerShell 脚本 PowerShell 共享枚举脚本 »