› › ›

Windows 系统网络连接发现

编辑

Windows 系统网络连接发现

编辑

此规则识别可用于枚举网络连接的命令的执行。攻击者可能会尝试获取受损系统与之通信或来自受损系统的网络连接列表，以识别环境中的目标。

规则类型: eql

规则索引:

logs-endpoint.events.process-*

严重性: 低

风险评分: 21

每隔: 5m

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
战术: 发现
规则类型: BBR
数据源: Elastic Defend

版本: 4

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where event.type == "start" and
(
  process.name : "netstat.exe" or
  (
   (
    (process.name : "net.exe" or process.pe.original_file_name == "net.exe") or
    (
     (process.name : "net1.exe" or process.pe.original_file_name == "net1.exe") and
     not process.parent.name : "net.exe"
    )
   ) and process.args : ("use", "user", "session", "config") and not process.args: ("/persistent:*", "/delete", "\\\\*")
  ) or
  (process.name : "nbtstat.exe" and process.args : "-s*")
) and not user.id : "S-1-5-18"

框架: MITRE ATT&CK^TM

战术
- 名称: 发现
- ID: TA0007
- 参考网址: https://attack.mitre.org/tactics/TA0007/
技术
- 名称: 系统网络连接发现
- ID: T1049
- 参考网址: https://attack.mitre.org/techniques/T1049/
技术
- 名称: 系统信息发现
- ID: T1082
- 参考网址: https://attack.mitre.org/techniques/T1082/

« Windows 系统信息发现使用 Netsh 命令进行无线凭据转储 »