› › ›

Web Shell 检测：常见 Web 进程的脚本进程子进程

编辑

Web Shell 检测：常见 Web 进程的脚本进程子进程

编辑

识别通过 Web 服务器执行的可疑命令，这可能表明存在漏洞和远程 shell 访问。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-sentinel_one_cloud_funnel.*
logs-m365_defender.event-*
logs-crowdstrike.fdr*

严重程度: 高

风险评分: 73

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

领域：端点
操作系统：Windows
用例：威胁检测
战术：持久性
战术：初始访问
战术：执行
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：SentinelOne
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：Crowdstrike

版本: 416

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 Web Shell 检测：常见 Web 进程的脚本进程子进程

攻击者可能会使用 Web shell 对 Web 服务器进行后门处理，以建立对系统的持久访问。Web shell 是一种放置在公开访问的 Web 服务器上的 Web 脚本，允许攻击者使用 Web 服务器作为网络的网关。Web shell 可以提供一组要执行的功能或托管 Web 服务器的系统的命令行界面。

此规则检测 Web 服务器进程生成脚本和命令行界面程序，这可能表明攻击者正在使用 Web shell 执行命令。

可能的调查步骤

调查主题进程观察到的异常行为，例如网络连接、注册表或文件修改以及任何其他生成的子进程。
检查命令行以确定执行了哪些命令或脚本。
调查过去 48 小时内与用户/主机关联的其他警报。
通过查找主机之间的类似事件来评估此行为在环境中是否普遍存在。
如果丢弃了脚本或可执行文件，请检索这些文件并确定它们是否为恶意文件
使用私有沙盒恶意软件分析系统执行分析。
观察并收集有关以下活动的信息
尝试联系外部域和地址。
文件和注册表访问、修改和创建活动。
服务创建和启动活动。
计划任务创建。
使用 PowerShell Get-FileHash cmdlet 获取文件的 SHA-256 哈希值。
在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。

误报分析

此活动不太可能合法地发生。安全团队必须监控触发警报且本身并非恶意的任何活动。

响应和补救

根据分类结果启动事件响应流程。
隔离相关主机以防止进一步的入侵后行为。
如果分类确定了恶意软件，请在环境中搜索其他受感染的主机。
实施临时网络规则、程序和分段以遏制恶意软件。
停止可疑进程。
立即阻止已识别的入侵指标 (IoC)。
检查受影响的系统是否有其他恶意软件后门，例如反向 shell、反向代理或攻击者可用于重新感染系统的下载程序。
删除和阻止在分类期间识别的恶意工件。
调查攻击者入侵或使用的系统上的凭据泄露，以确保识别所有受感染的帐户。重置这些帐户以及其他可能受感染的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始载体，并采取措施防止通过相同载体重新感染。
使用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name : ("w3wp.exe", "httpd.exe", "nginx.exe", "php.exe", "php-cgi.exe", "tomcat.exe") and
  process.name : ("cmd.exe", "cscript.exe", "powershell.exe", "pwsh.exe", "powershell_ise.exe", "wmic.exe", "wscript.exe") and
  not
  (
    process.parent.name : ("php.exe", "httpd.exe") and process.name : "cmd.exe" and
    process.command_line : (
      "cmd.exe /c mode CON",
      "cmd.exe /s /c \"mode CON\"",
      "cmd.exe /c \"mode\"",
      "cmd.exe /s /c \"tput colors 2>&1\""
    )
  )

框架: MITRE ATT&CK^TM

战术
- 名称：持久性
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：服务器软件组件
- ID：T1505
- 参考 URL：https://attack.mitre.org/techniques/T1505/
子技术
- 名称：Web Shell
- ID：T1505.003
- 参考 URL：https://attack.mitre.org/techniques/T1505/003/
战术
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：利用面向公众的应用程序
- ID：T1190
- 参考 URL：https://attack.mitre.org/techniques/T1190/
战术
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考 URL：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考 URL：https://attack.mitre.org/techniques/T1059/001/
子技术
- 名称：Windows 命令 Shell
- ID：T1059.003
- 参考 URL：https://attack.mitre.org/techniques/T1059/003/
子技术
- 名称：Visual Basic
- ID：T1059.005
- 参考 URL：https://attack.mitre.org/techniques/T1059/005/
技术
- 名称：Windows 管理规范
- ID：T1047
- 参考 URL：https://attack.mitre.org/techniques/T1047/

« 通过 Python 生成的 Web 服务器 WebProxy 设置修改 »