已下载的快捷方式文件

识别从本地网络外部下载的 .lnk 快捷方式文件。这些快捷方式文件通常用于网络钓鱼活动。

规则类型: eql

规则索引:

严重程度: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅额外的回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

版本: 3

规则作者:

规则许可证: Elastic License v2

file where host.os.type == "windows" and event.type == "creation" and file.extension == "lnk" and file.Ext.windows.zone_identifier > 1

框架: MITRE ATT&CK^TM

战术
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 用户执行
- ID: T1204
- 参考 URL: https://attack.mitre.org/techniques/T1204/
子技术
- 名称: 恶意文件
- ID: T1204.002
- 参考 URL: https://attack.mitre.org/techniques/T1204/002/
战术
- 名称: 初始访问
- ID: TA0001
- 参考 URL: https://attack.mitre.org/tactics/TA0001/
技术
- 名称: 网络钓鱼
- ID: T1566
- 参考 URL: https://attack.mitre.org/techniques/T1566/
子技术
- 名称: 鱼叉式网络钓鱼附件
- ID: T1566.001
- 参考 URL: https://attack.mitre.org/techniques/T1566/001/
子技术
- 名称: 鱼叉式网络钓鱼链接
- ID: T1566.002
- 参考 URL: https://attack.mitre.org/techniques/T1566/002/