« 远程计算机帐户 DnsHostName 更新 远程桌面文件从可疑路径打开 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预置规则参考

通过 Netsh 在 Windows 防火墙中启用远程桌面

编辑

通过 Netsh 在 Windows 防火墙中启用远程桌面

编辑

识别使用网络 shell 实用程序 (netsh.exe) 在 Windows 防火墙中启用入站远程桌面协议 (RDP) 连接。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.forwarded*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-system.security*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*
  • logs-crowdstrike.fdr*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：防御规避
  • 资源：调查指南
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend
  • 数据源：系统
  • 数据源：Microsoft Defender for Endpoint
  • 数据源：Sysmon
  • 数据源：SentinelOne
  • 数据源：Crowdstrike

版本: 312

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过 Netsh 在 Windows 防火墙中启用远程桌面

Microsoft 远程桌面协议 (RDP) 是一种专有的 Microsoft 协议，允许远程连接到其他计算机，通常通过 TCP 端口 3389。

攻击者可以使用 RDP 以交互方式执行其操作。勒索软件运营商经常使用 RDP 访问受害者服务器，通常使用特权帐户。

此规则检测创建 Windows 防火墙入站规则，该规则将使用 netsh.exe 实用程序允许入站 RDP 流量。

可能的调查步骤

  • 识别执行该操作的用户帐户以及该帐户是否应执行此类操作。
  • 联系用户以检查他们是否知道此操作。
  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件以了解流行程度、它们是否位于预期位置以及它们是否已使用有效的数字签名进行签名。
  • 调查过去 48 小时内与用户/主机关联的其他告警。
  • 检查鉴于其在环境中的作用，是否合理地为此主机启用 RDP。
  • 检查主机是否直接暴露于互联网。
  • 检查修改后不久特权帐户是否访问了主机。
  • 查看此告警的短时间范围内的网络事件，以了解传入的 RDP 连接尝试。

误报分析

  • netsh.exe 实用程序可以合法使用。检查用户是否应该执行此类活动，用户是否知道它，RDP 是否应该打开以及该操作是否将环境暴露于不必要的风险。

响应和补救

  • 根据分类结果启动事件响应流程。
  • 如果需要 RDP，请确保对其进行保护
  • 将 RDP 流量允许列表到特定的受信任主机。
  • 尽可能限制 RDP 登录到授权的非管理员帐户。
  • 隔离相关主机以防止进一步的入侵后行为。
  • 查看分配给相关用户的权限，以确保遵循最小权限原则。
  • 确定攻击者滥用的初始载体，并采取措施防止通过相同载体重新感染。
  • 使用事件响应数据更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
process where host.os.type == "windows" and event.type == "start" and
 (process.name : "netsh.exe" or ?process.pe.original_file_name == "netsh.exe") and
 process.args : ("localport=3389", "RemoteDesktop", "group=\"remote desktop\"") and
 process.args : ("action=allow", "enable=Yes", "enable")

框架: MITRE ATT&CKTM

« 远程计算机帐户 DnsHostName 更新 远程桌面文件从可疑路径打开 »