« 外部警报 外部用户添加到 Google Workspace 群组 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

非浏览器进程的外部 IP 查找

编辑

非浏览器进程的外部 IP 查找

编辑

识别攻击者在利用后 IP 查找中常用的域名。攻击者通常在获得系统访问权限后测试互联网访问并获取其外部 IP 地址。在利用信息窃取程序 Trickbot 的活动中也观察到了这一点。

规则类型: eql

规则索引:

  • logs-endpoint.events.network-*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参见 额外的回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

  • 域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 策略: 发现
  • 资源: 调查指南
  • 数据源: Elastic Defend
  • 规则类型: BBR

版本: 108

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查非浏览器进程的外部 IP 查找

成功入侵环境后，攻击者可能会尝试获取态势感知，以计划下一步行动。这可以通过运行命令来枚举网络资源、用户、连接、文件和已安装的安全软件来实现。

此规则查找通过非浏览器进程或未安装的程序连接到已知的 IP 查找服务。仅使用受感染系统的 IP 地址，攻击者就可以获得有价值的信息，例如系统的地理位置、拥有 IP 的公司、系统是否是云托管等等。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查它们的可执行文件，了解其流行程度、是否位于预期位置以及是否使用有效的数字签名进行签名。
  • 识别执行操作的用户帐户，以及该帐户是否应该执行此类操作。
  • 联系帐户所有者，并确认他们是否了解此活动。
  • 调查过去 48 小时内与用户/主机相关的其他警报。
  • 调查主体进程观察到的异常行为，例如网络连接、注册表或文件修改以及任何产生的子进程。

误报分析

  • 如果发现活动是孤立发生的，则发现活动本身并非恶意。只要分析师没有发现与用户或主机相关的可疑活动，就可以忽略此类警报。
  • 如果此规则由于预期活动而在您的环境中产生过多噪音，请考虑添加例外 - 最好结合用户和命令行条件。

响应和补救

  • 根据分类的结果启动事件响应流程。
  • 隔离相关主机，以防止进一步的入侵后行为。
  • 使用通过分析收集的数据来调查环境中受影响的其他机器。
  • 调查受攻击者入侵或使用的系统上的凭据暴露情况，以确保识别出所有受感染的帐户。重置这些帐户和其他潜在受感染的凭据（如电子邮件、业务系统和 Web 服务）的密码。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
  • 使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
network where host.os.type == "windows" and network.protocol == "dns" and
    process.name != null and user.id not in ("S-1-5-19", "S-1-5-20") and
    event.action == "lookup_requested" and
    /* Add new external IP lookup services here */
    dns.question.name :
    (
        "*api.ipify.org",
        "*freegeoip.app",
        "*checkip.amazonaws.com",
        "*checkip.dyndns.org",
        "*freegeoip.app",
        "*icanhazip.com",
        "*ifconfig.*",
        "*ipecho.net",
        "*ipgeoapi.com",
        "*ipinfo.io",
        "*ip.anysrc.net",
        "*myexternalip.com",
        "*myipaddress.com",
        "*showipaddress.com",
        "*whatismyipaddress.com",
        "*wtfismyip.com",
        "*ipapi.co",
        "*ip-lookup.net",
        "*ipstack.com"
    ) and
    /* Insert noisy false positives here */
    not
    (
      (
        process.executable : (
            "?:\\Program Files\\*.exe",
            "?:\\Program Files (x86)\\*.exe",
            "?:\\Windows\\Prey\\versions\\*\\bin\\node.exe",
            "?:\\Windows\\System32\\WWAHost.exe",
            "?:\\Windows\\System32\\smartscreen.exe",
            "?:\\Windows\\System32\\MicrosoftEdgeCP.exe",
            "?:\\ProgramData\\Microsoft\\Windows Defender\\Platform\\*\\MsMpEng.exe",
            "?:\\Users\\*\\AppData\\Local\\Google\\Chrome\\Application\\chrome.exe",
            "?:\\Users\\*\\AppData\\Local\\Programs\\Fiddler\\Fiddler.exe",
            "?:\\Users\\*\\AppData\\Local\\Programs\\Microsoft VS Code\\Code.exe",
            "?:\\Users\\*\\AppData\\Local\\Microsoft\\OneDrive\\OneDrive.exe"
        ) and process.code_signature.trusted == true
      ) or
      (
        (process.name : "Evernote.exe" and process.code_signature.subject_name : "Evernote Corporation" and process.code_signature.trusted == true) or
        (process.name : "firefox.exe" and process.code_signature.subject_name : "Mozilla Corporation" and process.code_signature.trusted == true) or
        (process.name : "Loom.exe" and process.code_signature.subject_name : "Loom, Inc." and process.code_signature.trusted == true) or
        (process.name : "opera.exe" and process.code_signature.subject_name : "Opera Norway AS" and process.code_signature.trusted == true) or
        (process.name : "brave.exe" and process.code_signature.subject_name : "Brave Software, Inc." and process.code_signature.trusted == true) or
        (process.name : "vivaldi.exe" and process.code_signature.subject_name : "Vivaldi Technologies AS" and process.code_signature.trusted == true)
      )
    )

框架: MITRE ATT&CKTM

« 外部警报 外部用户添加到 Google Workspace 群组 »