« 启动或运行键注册表修改 统计模型检测到的C2信标活动 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

添加到组策略对象的启动/登录脚本

编辑

添加到组策略对象的启动/登录脚本

编辑

检测修改组策略对象 (GPO) 以向用户或计算机对象添加启动/登录脚本的行为。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-system.*
  • logs-windows.*

严重性: 中等

风险评分: 47

每: 5 分钟运行一次

搜索索引自: 无 (日期数学格式，另请参见 附加回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 领域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 策略: 权限提升
  • 数据源: 活动目录
  • 资源: 调查指南
  • 用例: 活动目录监控
  • 数据源: 系统

版本: 211

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查添加到组策略对象的启动/登录脚本

攻击者可以使用组策略对象 (GPO) 指示任意大量的客户端在启动、登录、关机和注销时执行指定的命令。这是通过创建或修改scripts.ini或psscripts.ini文件来实现的。脚本存储在以下路径中： - <GPOPath>\Machine\Scripts\ - <GPOPath>\User\Scripts\

可能的调查步骤

  • 此攻击滥用了活动目录的合法机制，因此务必确定活动是否合法以及管理员是否有权执行此操作。
  • 检索ScheduledTasks.xml文件的内容，并检查<Command>和<Arguments> XML标签中是否存在任何潜在的恶意命令或二进制文件。
  • 调查过去 48 小时内与用户/主机相关的其他告警。
  • 通过检索有关哪些对象受 GPO 控制的信息来确定哪些对象可能受到损害。

误报分析

  • 验证执行是否合法授权并在变更管理流程下执行。

相关规则

  • 用于权限添加的组策略滥用 - b9554892-5e0e-424b-83a0-5aef95aa43bf
  • 通过 GPO 大规模执行计划任务 - 15a8ba77-1c13-4274-88fe-6bd14133861e

响应和补救

  • 根据分类结果启动事件响应流程。
  • 如有必要，必须对 GPO 控制的每台计算机执行调查和封堵。
  • 从 GPO 中删除脚本。
  • 检查其他 GPO 是否附加了可疑脚本。
  • 确定攻击者滥用的初始载体，并采取措施防止通过相同载体再次感染。
  • 使用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

必须配置详细文件共享审核审计策略（成功/失败）。使用高级审计配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
Object Access >
Audit Detailed File Share (Success,Failure)

必须配置审核目录服务更改审计策略（成功/失败）。使用高级审计配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success,Failure)

规则查询

编辑
any where host.os.type == "windows" and event.code in ("5136", "5145") and
(
  (
    winlog.event_data.AttributeLDAPDisplayName : (
      "gPCMachineExtensionNames",
      "gPCUserExtensionNames"
    ) and
    winlog.event_data.AttributeValue : "*42B5FAAE-6536-11D2-AE5A-0000F87571E3*" and
    winlog.event_data.AttributeValue : (
      "*40B66650-4972-11D1-A7CA-0000F87571E3*",
      "*40B6664F-4972-11D1-A7CA-0000F87571E3*"
    )
  ) or
  (
    winlog.event_data.ShareName : "\\\\*\\SYSVOL" and
    winlog.event_data.RelativeTargetName : ("*\\scripts.ini", "*\\psscripts.ini") and
    winlog.event_data.AccessList:"*%%4417*"
  )
)

框架: MITRE ATT&CKTM

« 启动或运行键注册表修改 统计模型检测到的C2信标活动 »