› › ›

用户添加到管理员组

编辑

用户添加到管理员组

编辑

识别添加到管理员组的用户。这可能是权限提升活动的迹象。

规则类型: eql

规则索引:

logs-jamf_protect*

严重性: 低

风险评分: 21

每隔: 5m

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

领域：端点
操作系统：macOS
用例：威胁检测
战术：权限提升
数据源：Jamf Protect

版本: 1

规则作者:

Thijs Xhaflaire

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

为了彻底调查用户被提升为管理员后发生的操作，必须在时间线上进行搜索。这使您可以审查和了解提升后发生的事件序列，从而帮助识别可能发生的任何潜在恶意或未经授权的活动。分析这些操作对于维护安全和确保提升未被用于有害目的至关重要。

注意: 此调查指南使用 Elastic Stack 版本 8.8.0 中引入的调查 Markdown 插件。较旧的 Elastic Stack 版本将在本指南中显示未呈现的 Markdown。

考虑审查以下操作

是否添加了持久性项？
提升后是否安装了任何软件？
提升后是否创建了其他用户？

!{investigate{"label":"显示权限提升后的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"}]],"relativeFrom":"now","relativeTo":"now+30m"}} !{investigate{"label":"显示具有相同负责人进程的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"},{"excluded":false,"field":"process.entity_id","queryType":"phrase","value":"{{process.group_leader.entity_id}}","valueType":"string"}]]}} !{investigate{"label":"显示具有相同父进程的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"},{"excluded":false,"field":"process.entity_id","queryType":"phrase","value":"{{process.parent.entity_id}}","valueType":"string"}]]}}

设置

编辑

设置

此规则需要来自 Jamf Protect 的数据。

Jamf Protect 集成设置

Jamf Protect 通过 Fleet 集成到 Elastic Agent 中。配置后，集成允许 Elastic Agent 监控传入事件并向 Elastic 发送数据。

先决条件

Jamf Protect 需要 Fleet。
要配置 Fleet 服务器，请参阅文档。

应按顺序执行以下步骤以添加 Jamf Protect 集成

转到 Kibana 主页并点击“添加集成”。
在查询栏中，搜索“Jamf Protect”并选择集成以查看有关它的更多详细信息。
点击“添加 Jamf Protect”。
配置集成名称。
点击“保存并继续”。

规则查询

编辑

configuration where host.os.type == "macos" and event.type == "change" and
  event.action == "od_group_add" and group.name:"admin"

框架: MITRE ATT&CK^TM

战术
- 名称：权限提升
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
子技术
- 名称：本地帐户
- ID：T1078.003
- 参考网址：https://attack.mitre.org/techniques/T1078/003/

« 用户添加到特权组用户帐户暴露于 Kerberoasting »