« 通过 GDB CAP_SYS_PTRACE 进行 root 网络连接 Route53 解析器查询日志配置已删除 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

Roshal 压缩文件 (RAR) 或从互联网下载的 PowerShell 文件

编辑

Roshal 压缩文件 (RAR) 或从互联网下载的 PowerShell 文件

编辑

检测内部主机从互联网下载的 Roshal 压缩文件 (RAR) 或 PowerShell 脚本。获得对系统的初始访问权限，然后下载编码或加密的工具以横向移动，是攻击者常用的做法，以此来保护他们更有价值的工具和战术、技术和程序 (TTP)。对于托管网络来说，这可能是异常行为，可能表明存在恶意软件、数据泄露或命令和控制。

规则类型: 查询

规则索引:

  • packetbeat-*
  • auditbeat-*
  • filebeat-*
  • logs-network_traffic.*
  • logs-panw.panos*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 用例：威胁检测
  • 战术：命令和控制
  • 领域：端点
  • 数据源：PAN-OS

版本: 104

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

威胁情报

此活动已在 FIN7 活动中观察到。

规则查询

编辑
(event.dataset: (network_traffic.http or network_traffic.tls) or
  (event.category: (network or network_traffic) and network.protocol: http)) and
  (url.extension:(ps1 or rar) or url.path:(*.ps1 or *.rar)) and
    not destination.ip:(
      10.0.0.0/8 or
      127.0.0.0/8 or
      169.254.0.0/16 or
      172.16.0.0/12 or
      192.0.0.0/24 or
      192.0.0.0/29 or
      192.0.0.8/32 or
      192.0.0.9/32 or
      192.0.0.10/32 or
      192.0.0.170/32 or
      192.0.0.171/32 or
      192.0.2.0/24 or
      192.31.196.0/24 or
      192.52.193.0/24 or
      192.168.0.0/16 or
      192.88.99.0/24 or
      224.0.0.0/4 or
      100.64.0.0/10 or
      192.175.48.0/24 or
      198.18.0.0/15 or
      198.51.100.0/24 or
      203.0.113.0/24 or
      240.0.0.0/4 or
      "::1" or
      "FE80::/10" or
      "FF00::/8"
    ) and
    source.ip:(
      10.0.0.0/8 or
      172.16.0.0/12 or
      192.168.0.0/16
    )

框架: MITRE ATT&CKTM

« 通过 GDB CAP_SYS_PTRACE 进行 root 网络连接 Route53 解析器查询日志配置已删除 »