« Svchost 生成 Cmd 系统二进制文件移动或复制 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预置规则参考

创建符号链接到卷影副本

编辑

创建符号链接到卷影副本

编辑

识别创建到卷影副本的符号链接。符号链接可用于访问卷影副本中的文件，包括敏感文件，例如 ntds.dit、系统启动密钥和浏览器脱机凭据。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.forwarded*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-system.security*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*
  • logs-crowdstrike.fdr*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：凭据访问
  • 资源：调查指南
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend
  • 数据源：系统
  • 数据源：Microsoft Defender for Endpoint
  • 数据源：Sysmon
  • 数据源：SentinelOne
  • 数据源：Crowdstrike

版本: 313

规则作者:

  • Elastic
  • Austin Songer

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查创建到卷影副本的符号链接

卷影副本是端点文件或卷在使用时的备份或快照。攻击者可能会尝试发现并创建到这些卷影副本的符号链接，以便离线复制敏感信息。如果使用 Active Directory (AD)，ntds.dit 文件通常是目标，因为它包含密码哈希，但需要离线副本才能提取这些哈希并可能进行横向移动。

可能的调查步骤

  • 识别执行该操作的用户帐户，以及该帐户是否应该执行此类操作。
  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件是否存在，它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
  • 调查过去 48 小时内与用户/主机关联的其他告警。
  • 确定是否最近在此端点上创建了卷影副本。
  • 查看最终用户的权限，因为这需要管理员访问权限。
  • 验证 ntds.dit 文件是否已成功复制并确定其复制目标。
  • 调查最近创建或通过 Reg.exe 保存的注册表 SYSTEM 文件副本。
  • 调查最近删除的卷影副本。
  • 识别可能直接从卷影副本路径复制的其他文件。

误报分析

  • 此规则应该会导致很少的误报。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

相关规则

  • NTDS 或 SAM 数据库文件已复制 - 3bc6deaa-fbd4-433a-ae21-3e892f95624f

响应和补救措施

  • 根据分类结果启动事件响应流程。
  • 调查受攻击系统或攻击者用来确保识别所有受损帐户的系统上的凭据泄露。重置这些帐户和其他可能受损的凭据的密码，例如电子邮件、业务系统和 Web 服务。
  • 如果整个域或krbtgt用户受到损害
  • 激活您的事件响应计划以应对 Active Directory 的完全损害，其中应包括但不限于krbtgt用户的密码重置（两次）。
  • 找到并删除从卷影副本复制的静态文件。
  • 除非处于开发人员模式，否则命令行工具 mklink 默认情况下应需要管理员访问权限。
  • 运行完整的反恶意软件扫描。这可能会发现系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始载体，并采取措施防止通过相同载体再次感染。
  • 使用事件响应数据更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

确保启用了 Windows 的高级审计策略，特别是：对象访问策略 事件 ID 4656（请求了对象的句柄）

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
System Audit Policies >
Object Access >
Audit File System (Success,Failure)
Audit Handle Manipulation (Success,Failure)

仅当从生成 cmd.exe 或 powershell.exe 并带有正确参数的新进程创建符号链接时，此事件才会触发。直接访问 shell 和调用符号链接创建工具不会生成与该规则匹配的事件。

规则查询

编辑
process where host.os.type == "windows" and event.type == "start" and
 (
    (?process.pe.original_file_name in ("Cmd.Exe","PowerShell.EXE")) or
    (process.name : ("cmd.exe", "powershell.exe"))
 ) and

 /* Create Symbolic Link to Shadow Copies */
 process.args : ("*mklink*", "*SymbolicLink*") and process.command_line : ("*HarddiskVolumeShadowCopy*")

框架: MITRE ATT&CKTM

« Svchost 生成 Cmd 系统二进制文件移动或复制 »