› › ›

服务路径修改

编辑

服务路径修改

编辑

识别尝试通过异常进程修改服务路径的行为。攻击者可能会尝试修改现有服务以实现持久化或权限提升。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
endgame-*
logs-windows.sysmon_operational-*
winlogbeat-*

严重性: 低

风险评分: 21

每隔: 60m

搜索索引自: now-119m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
数据源：Elastic Endgame
数据源：Elastic Defend
规则类型：BBR
数据源：Sysmon

版本: 105

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath"
  ) and not (
    process.executable : (
      "?:\\Program Files\\*.exe",
      "?:\\Program Files (x86)\\*.exe",
      "?:\\Windows\\System32\\services.exe",
      "?:\\Windows\\WinSxS\\*"
    )
  )

框架: MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：修改注册表
- ID：T1112
- 参考网址：https://attack.mitre.org/techniques/T1112/
策略
- 名称：持久化
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：创建或修改系统进程
- ID：T1543
- 参考网址：https://attack.mitre.org/techniques/T1543/
子技术
- 名称：Windows 服务
- ID：T1543.003
- 参考网址：https://attack.mitre.org/techniques/T1543/003/
策略
- 名称：权限提升
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：创建或修改系统进程
- ID：T1543
- 参考网址：https://attack.mitre.org/techniques/T1543/
子技术
- 名称：Windows 服务
- ID：T1543.003
- 参考网址：https://attack.mitre.org/techniques/T1543/003/

« 通过注册表修改禁用服务通过 sc.exe 修改服务路径 »