› › ›

临时计划任务创建

编辑

临时计划任务创建

编辑

指示在短时间间隔内创建和删除计划任务。攻击者可以使用这些任务通过计划服务代理恶意执行并执行清理操作。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中等

风险评分: 47

每隔: 5m

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4698

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
战术: 持久性
战术: 执行
数据源: 系统

版本: 108

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

sequence by winlog.computer_name, winlog.event_data.TaskName with maxspan=5m
   [iam where event.action == "scheduled-task-created" and not user.name : "*$"]
   [iam where event.action == "scheduled-task-deleted" and not user.name : "*$"]

框架: MITRE ATT&CK^TM

战术
- 名称: 持久性
- ID: TA0003
- 参考网址: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考网址: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考网址: https://attack.mitre.org/techniques/T1053/005/
战术
- 名称: 执行
- ID: TA0002
- 参考网址: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考网址: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考网址: https://attack.mitre.org/techniques/T1053/005/