- Elastic 安全其他版本
- Elastic 安全概览
- 8.17 版本的新功能
- 将 Elastic 安全升级到 8.17.0
- 升级后步骤 (可选)
- 开始使用 Elastic 安全
- 安全人工智能
- 检测和警报
- 检测要求
- 将 logsdb 索引模式与 Elastic 安全一起使用
- 关于检测规则
- 创建检测规则
- 安装和管理 Elastic 预构建规则
- 管理检测规则
- 监控和排除规则执行故障
- 规则例外
- 关于构建块规则
- MITRE ATT&CK® 覆盖范围
- 管理检测警报
- 减少通知和警报
- 查询警报索引
- 调整检测规则
- 预构建规则参考
- 创建了计划任务
- 更新了计划任务
- APT 包管理器配置文件创建
- AWS Bedrock 检测到单个用户多次尝试使用被拒绝的模型
- AWS Bedrock 检测到单个用户多次验证异常错误
- AWS Bedrock Guardrails 检测到单个阻止请求中存在多个策略违规
- AWS Bedrock Guardrails 检测到单个用户在会话中存在多次违规
- AWS Bedrock 在会话中检测到单个用户发起的未启用 Guardrails 的调用
- 具有自定义端点 URL 的 AWS CLI 命令
- 创建了 AWS CloudTrail 日志
- 删除了 AWS CloudTrail 日志
- 暂停了 AWS CloudTrail 日志
- 更新了 AWS CloudTrail 日志
- 删除了 AWS CloudWatch 警报
- 删除了 AWS CloudWatch 日志组
- 删除了 AWS CloudWatch 日志流
- 删除了 AWS Config 资源
- 停止了 AWS 配置记录器
- 在容器内搜索到的 AWS 凭证
- 删除了 AWS RDS 实例或集群
- 通过单个资源使用 CLI 调用 AWS 发现 API
- 通过承担角色获取 AWS EC2 管理凭证
- 与另一个账户共享的 AWS EC2 EBS 快照
- 禁用了 AWS EC2 加密
- 检测到 AWS EC2 完全网络数据包捕获
- 上传了 AWS EC2 实例连接 SSH 公钥
- 通过承担角色进行 AWS EC2 实例控制台登录
- AWS EC2 实例与 IAM 服务交互
- AWS EC2 多区域 DescribeInstances API 调用
- 创建了 AWS EC2 网络访问控制列表
- 删除了 AWS EC2 网络访问控制列表
- AWS EC2 安全组配置更改
- AWS EC2 快照活动
- AWS EC2 VM 导出失败
- 删除了 AWS EFS 文件系统或挂载
- 创建了 AWS ElastiCache 安全组
- 修改或删除了 AWS ElastiCache 安全组
- 禁用或删除了 AWS EventBridge 规则
- 删除了 AWS GuardDuty 检测器
- 将 AWS IAM AdministratorAccess 策略附加到组
- 将 AWS IAM AdministratorAccess 策略附加到角色
- 将 AWS IAM AdministratorAccess 策略附加到用户
- 更新了 AWS IAM 承担角色策略
- AWS IAM 承担角色策略的暴力破解
- 将 AWS IAM CompromisedKeyQuarantine 策略附加到用户
- 通过 EC2 实例上承担的角色创建 AWS IAM 用户
- 由罕见用户将 AWS IAM 客户管理策略附加到角色
- 停用了 AWS IAM MFA 设备
- 创建了 AWS IAM 组
- 删除了 AWS IAM 组
- 为 Root 添加了 AWS IAM 登录配置文件
- 为用户添加了 AWS IAM 登录配置文件
- 请求了 AWS IAM 密码恢复
- 创建了 AWS IAM Roles Anywhere 配置文件
- 使用外部 CA 创建了 AWS IAM Roles Anywhere 信任锚
- 更新了 AWS IAM SAML 提供商
- 将 AWS IAM 用户添加到组
- AWS IAM 用户为另一个用户创建了访问密钥
- 禁用或计划删除 AWS KMS 客户托管密钥
- 创建或更新了 AWS Lambda 函数
- 更新了 AWS Lambda 函数策略以允许公共调用
- 向现有函数添加了 AWS Lambda 层
- AWS 管理控制台 Root 用户身份的暴力破解
- AWS 管理控制台 Root 登录
- 创建了 AWS RDS 集群
- AWS RDS DB 实例公开
- 恢复了 AWS RDS DB 实例
- 禁用了 AWS RDS DB 实例或集群删除保护
- 修改了 AWS RDS DB 实例或集群密码
- 创建了 AWS RDS DB 快照
- 与另一个账户共享的 AWS RDS DB 快照
- 创建了 AWS RDS 实例
- 停止了 AWS RDS 实例/集群
- 创建了 AWS RDS 安全组
- 删除了 AWS RDS 安全组
- 删除了 AWS RDS 快照
- AWS RDS 快照导出
- 创建了 AWS Redshift 集群
- AWS Root 登录未启用 MFA
- 禁用了 AWS Route 53 域名转移锁定
- 将 AWS Route 53 域名转移到另一个账户
- 创建了 AWS 路由表
- 修改或删除了 AWS 路由表
- AWS Route53 私有托管区域与 VPC 关联
- 删除了 AWS S3 存储桶配置
- AWS S3 存储桶枚举或暴力破解
- 添加了 AWS S3 存储桶过期生命周期配置
- 添加了 AWS S3 存储桶策略以与外部账户共享
- 将 AWS S3 存储桶复制到另一个账户
- 禁用了 AWS S3 存储桶服务器访问日志记录
- 使用外部 KMS 密钥加密 AWS S3 对象
- 暂停了 AWS S3 对象版本控制
- 由罕见用户订阅了 AWS SNS 电子邮件
- 由罕见用户创建了 AWS SSM 命令文档
- 由罕见用户执行了 AWS SSM
SendCommand - 使用 Run Shell 命令参数的 AWS SSM
SendCommand - 使用新的 MFA 设备执行 AWS STS AssumeRole
- 由罕见用户和成员账户执行 AWS STS AssumeRoot
- 首次调用了 AWS STS GetCallerIdentity API
- 滥用 AWS STS GetSessionToken
- 由服务承担 AWS STS 角色
- 由用户承担 AWS STS 角色
- AWS STS 角色链
- AWS 服务配额多区域
GetServiceQuota请求 - 使用联合用户的 AWS Signin 单因素控制台登录
- 具有解密标志的 AWS Systems Manager SecureString 参数请求
- 删除了 AWS VPC 流日志
- 删除了 AWS WAF 访问控制列表
- 删除了 AWS WAF 规则或规则组
- 创建了异常进程 ID 或锁定文件
- 异常大的 DNS 响应
- 接受的默认 Telnet 端口连接
- 通过 setfacl 修改访问控制列表
- 访问钥匙串凭证目录
- 访问敏感的 LDAP 属性
- 访问 Outlook 数据文件
- 配置了永不过期密码的账户
- 通过 SYSTEM 账户的账户发现命令
- 远程重置账户密码
- 通过内置工具进行账户或组发现
- 来自 Linux 主机的 Active Directory 强制身份验证 - SMB 命名管道
- 由 SYSTEM 修改 Active Directory 组
- AdFind 命令活动
- 通过 Attrib 添加隐藏文件属性
- AdminSDHolder 后门
- 添加了 AdminSDHolder SDProp 排除
- 为 Okta 组分配了管理员权限
- 为 Okta 用户分配了管理员角色
- Adobe 劫持持久性
- 对手行为 - 检测到 - Elastic Endgame
- 代理欺骗 - 代理 ID 不匹配
- 代理欺骗 - 多个主机使用同一代理
- 在卷根目录创建/执行备用数据流
- 异常的 Linux 编译器活动
- Linux 群体的异常进程
- Windows 群体的异常进程
- 异常的 Windows 进程创建
- Apple 脚本执行后进行网络连接
- 使用管理员权限执行 Apple 脚本
- 将应用程序添加到 Google Workspace 域
- 从 Google Workspace 中的阻止列表删除应用程序
- 具有不寻常扩展名的存档文件
- 创建或修改了 At 作业
- At.exe 命令横向移动
- 尝试清除内核环形缓冲区
- 尝试创建 Okta API 令牌
- 尝试停用 Okta 应用程序
- 尝试停用 Okta 网络区域
- 尝试停用 Okta 策略
- 尝试停用 Okta 策略规则
- 尝试删除 Okta 应用程序
- 尝试删除 Okta 网络区域
- 尝试删除 Okta 策略
- 尝试删除 Okta 策略规则
- 尝试禁用 Auditd 服务
- 尝试禁用 Gatekeeper
- 尝试禁用 IPTables 或防火墙
- 尝试禁用 Syslog 服务
- 尝试启用 Root 账户
- 尝试建立 VScode 远程隧道
- 尝试通过 WSL 安装 Kali Linux
- 尝试安装 Root 证书
- 尝试修改 Okta 应用程序
- 尝试修改 Okta 网络区域
- 尝试修改 Okta 策略
- 尝试修改 Okta 策略规则
- 尝试通过命令行挂载 SMB 共享
- 尝试重置 Okta 用户账户的 MFA 因素
- 尝试从 AWS EC2 实例检索用户数据
- 尝试撤销 Okta API 令牌
- 尝试卸载 Elastic Endpoint Security 内核扩展
- 尝试绕过 Okta MFA
- 尝试访问私钥
- 尝试暴力破解 Microsoft 365 用户账户
- 尝试暴力破解 Okta 用户账户
- 通过不寻常的 PAM 授权人进行身份验证
- 授权插件修改
- 分配了 Azure AD 全局管理员角色
- Azure Active Directory 高风险登录
- Azure Active Directory 高风险用户登录启发式
- Azure Active Directory PowerShell 登录
- 创建或修改了 Azure 警报抑制规则
- Azure 应用程序凭证修改
- 创建了 Azure 自动化账户
- 创建或修改了 Azure 自动化 Runbook
- 删除了 Azure 自动化 Runbook
- Azure 自动化 Webhook 创建
- Azure Blob 容器访问级别修改
- Azure Blob 权限修改
- Azure 虚拟机命令执行
- Azure 条件访问策略修改
- Azure 诊断设置删除
- Azure Entra 登录针对 Microsoft 365 帐户的重复来源暴力破解
- Azure Entra 登录针对 Microsoft 365 帐户的暴力破解
- Azure 事件中心授权规则创建或更新
- Azure 事件中心删除
- Azure 外部来宾用户邀请
- Azure 防火墙策略删除
- Azure 前门 Web 应用程序防火墙 (WAF) 策略删除
- 检测到 Azure 全网络数据包捕获
- Azure 全局管理员角色添加到 PIM 用户
- Azure Key Vault 修改
- Azure Kubernetes 事件删除
- Azure Kubernetes Pod 删除
- Azure Kubernetes Rolebindings 创建
- Azure 网络观察程序删除
- Azure 特权身份管理角色修改
- Azure 资源组删除
- Azure 服务主体添加
- Azure 服务主体凭据添加
- Azure 存储帐户密钥重新生成
- Azure 虚拟网络设备修改或删除
- 使用 TC 应用 BPF 过滤器
- Base16 或 Base32 编码/解码活动
- Bash Shell 配置文件修改
- 通过 Cmd.exe 复制二进制内容
- 从共享内存目录执行二进制文件
- Bitsadmin 活动
- 浏览器扩展安装
- 通过事件查看器绕过 UAC
- CAP_SYS_ADMIN 分配给二进制文件
- Chkconfig 服务添加
- 清除 Windows 控制台历史记录
- 清除 Windows 事件日志
- Cobalt Strike 命令和控制信标
- 通过内置工具修改代码签名策略
- 通过注册表修改代码签名策略
- 通过 SolarWinds 进程执行命令
- 命令提示符网络连接
- 通过 RunDLL32 启动命令 Shell 活动
- 组件对象模型劫持
- 不寻常进程加载压缩 DLL
- 可疑父进程生成 Conhost
- 连接到常用的滥用免费 SSL 证书提供商
- 连接到常用的滥用 Web 服务
- 通过 Telnet 连接到外部网络
- 通过 Telnet 连接到内部网络
- 在容器内运行容器管理实用程序
- 容器工作负载保护
- 具有不寻常参数的控制面板进程
- 通过命令行创建隐藏文件和目录
- 创建隐藏启动代理或守护程序
- 通过 Apple Script 创建隐藏登录项
- 创建隐藏的共享对象文件
- 创建内核模块
- 创建 SettingContent-ms 文件
- 创建 DNS 命名记录
- 创建隐藏的本地用户帐户
- 创建或修改域备份 DPAPI 私钥
- 创建或修改可插入身份验证模块或配置
- 创建或修改根证书
- 创建或修改新的 GPO 计划任务或服务
- 通过注册表配置单元转储获取凭据
- 凭据转储 - 检测到 - Elastic Endgame
- 凭据转储 - 已阻止 - Elastic Endgame
- 凭据操作 - 检测到 - Elastic Endgame
- 凭据操作 - 已阻止 - Elastic Endgame
- 创建或修改 Cron 作业
- Cupsd 或 Foomatic-rip Shell 执行
- 来自不寻常父进程的 Curl SOCKS 代理活动
- CyberArk 特权访问安全错误
- CyberArk 特权访问安全推荐监视
- DNF 软件包管理器插件文件创建
- DNS 全局查询阻止列表修改或禁用
- DNS 隧道
- 通过注册表启用 DNS over HTTPS
- 不寻常父进程安装 DPKG 软件包
- 默认 Cobalt Strike 团队服务器证书
- 通过 Ping 延迟执行
- 使用 Fsutil 删除卷 USN 日志
- 使用 Wbadmin 删除备份目录
- 已弃用 - Microsoft 365 用户帐户的潜在密码喷洒
- 已弃用 - 可疑 JAVA 子进程
- 在 /bin 目录中创建目录
- 使用内置工具禁用 Windows 事件和安全日志
- 通过 Netsh 禁用 Windows 防火墙规则
- 通过注册表修改禁用用户帐户控制
- 通过 PowerShell 禁用 Windows Defender 安全设置
- 发现域组
- 通过内置工具发现 Internet 功能
- 通过 Nsenter 进行 Docker 逃逸
- 将域添加到 Google Workspace 受信任域
- 下载的快捷方式文件
- 下载的 URL 文件
- 通过内置命令转储帐户哈希
- 通过安全命令转储钥匙串内容
- 动态链接器复制
- 动态链接器创建或修改
- 与其他帐户共享 EC2 AMI
- 通过 Find 发现 ESXI
- 通过 Grep 发现 ESXI
- 使用 Touch 命令进行 ESXI 时间戳
- EggShell 后门执行
- 容器中入口点的出口连接
- Elastic Agent 服务终止
- Emond 规则创建或修改
- 通过 Netsh 启用主机网络发现
- 存储在注册表中的编码可执行文件
- 使用 WinRar 或 7z 加密文件
- 端点安全
- Entra ID 设备代码通过 Broker 客户端进行身份验证
- 通过 DSQUERY.EXE 枚举域信任
- 通过 NLTEST.EXE 枚举域信任
- 通过 WMIPrvSE 生成枚举命令
- 枚举管理员帐户
- 枚举内核模块
- 通过 Proc 枚举内核模块
- 枚举特权本地组成员身份
- 通过内置命令枚举用户或组
- 通过 PowerShell 导出 Exchange 邮箱
- 为潜在持久性脚本设置可执行位
- 创建具有多个扩展名的可执行文件
- 具有不寻常扩展名的可执行文件
- 伪装成内核进程的可执行文件
- 从不寻常目录执行 - 命令行
- 从具有网络连接的可移动介质执行
- 通过 Xwizard 执行 COM 对象
- 执行由 Microsoft Office 写入或修改的文件
- 执行由 PDF 阅读器写入或修改的文件
- 执行持久性可疑程序
- 执行未签名的服务
- 通过 Electron 子进程 Node.js 模块执行
- 通过 MS VisualStudio 预/后构建事件执行
- 通过 MSSQL xp_cmdshell 存储过程执行
- 通过 Microsoft DotNet ClickOnce 主机执行
- 通过 TSClient 挂载点执行
- 通过 Windows 命令调试实用程序执行
- 通过 Windows Subsystem for Linux 执行
- 通过本地 SxS 共享模块执行
- 使用脚本通过显式凭据执行
- 加载过期或吊销的驱动程序
- 漏洞利用 - 检测到 - Elastic Endgame
- 漏洞利用 - 已阻止 - Elastic Endgame
- 通过 PowerShell 导出 Exchange 邮箱
- 外部警报
- 来自非浏览器进程的外部 IP 查找
- 将外部用户添加到 Google Workspace 群组
- 将文件压缩或存档为常用格式
- 更改文件创建时间
- 由 Cups 或 Foomatic-rip 子进程创建文件
- 在可疑目录中创建、执行和自删除文件
- 通过 Shred 删除文件
- 通过容器内的 Chmod 将文件设为可执行文件
- 在可写目录中修改文件权限
- 在回收站的根文件夹中暂存文件
- 在特权容器中启动文件系统调试器
- 通过 Netcat 建立文件传输或侦听器
- 文件和目录权限修改
- 通过 Chattr 将文件设为不可变
- 文件或目录删除命令
- 下载了具有可疑扩展名的文件
- 注册并启用 Finder Sync 插件
- 个人访问令牌 (PAT) 的首次 GitHub 事件
- 首次通过 DeviceCode 协议进行 Entra ID 身份验证
- 来自新 IP 的首次 GitHub 存储库交互
- 首次 GitHub 用户与私有存储库交互
- GitHub 个人访问令牌 (PAT) 的首次 IP 地址
- GitHub 用户的首次 IP 地址
- 首次通过代理启动 Okta 用户会话
- 首次 GitHub 用户使用个人访问令牌 (PAT)
- 来自特定 GitHub 个人访问令牌 (PAT) 的首次私有存储库事件
- 用户首次 STS GetFederationToken 请求
- GitHub 个人访问令牌 (PAT) 的首次用户代理
- GitHub 用户的首次用户代理
- 用户首次创建 AWS Cloudformation 堆栈
- 在 Secrets Manager 中首次访问 AWS 密钥值
- 首次看到常用滥用远程访问工具执行
- 首次加载驱动程序
- 首次看到第三方应用程序登录 Google Workspace OAuth
- 首次看到 NewCredentials 登录进程
- 首次看到可移动设备
- 首次看到帐户执行 DCSync
- 转发的 Google Workspace 安全警报
- 全用户模式转储在全系统范围内启用
- GCP 防火墙规则创建
- GCP 防火墙规则删除
- GCP 防火墙规则修改
- GCP IAM 自定义角色创建
- GCP IAM 角色删除
- GCP IAM 服务帐户密钥删除
- GCP 日志记录存储桶删除
- GCP 日志记录接收器删除
- GCP 日志记录接收器修改
- GCP Pub/Sub 订阅创建
- GCP Pub/Sub 订阅删除
- GCP Pub/Sub 主题创建
- GCP Pub/Sub 主题删除
- GCP 服务帐户创建
- GCP 服务帐户删除
- GCP 服务帐户已禁用
- GCP 服务帐户密钥创建
- GCP 存储桶配置修改
- GCP 存储桶删除
- GCP 存储桶权限修改
- GCP 虚拟私有云网络删除
- GCP 虚拟私有云路由创建
- GCP 虚拟私有云路由删除
- Git Hook 子进程
- Git Hook 命令执行
- Git Hook 创建或修改
- Git Hook 出口网络连接
- GitHub 应用程序已删除
- 授予用户 GitHub 所有者角色
- GitHub PAT 访问权限已撤销
- GitHub 受保护分支设置已更改
- GitHub 存储库已创建
- GitHub 存储库已删除
- GitHub UEBA - 来自 GitHub 帐户的多个警报
- GitHub 用户被组织阻止
- 通过 Google Workspace 转移 Google 云端硬盘所有权
- Google Workspace 已禁用 2SV 策略
- 通过域范围委派授予 Google Workspace API 访问权限
- 已将 Google Workspace 管理员角色分配给用户
- Google Workspace 管理员角色删除
- Google Workspace Bitlocker 设置已禁用
- 已创建 Google Workspace 自定义管理员角色
- 已创建或修改 Google Workspace 自定义 Gmail 路由
- 匿名用户访问 Google Workspace 云端硬盘加密密钥
- Google Workspace MFA 强制执行已禁用
- 通过应用同意将 Google Workspace 对象复制到外部驱动器
- Google Workspace 密码策略已修改
- 修改了 Google Workspace Marketplace 限制以允许任何应用
- Google Workspace 角色已修改
- 已恢复 Google Workspace 暂停用户帐户
- Google Workspace 用户组织部门已更改
- 滥用组策略添加权限
- 通过 Microsoft GPResult 实用程序发现组策略
- 半成品命令和控制信标
- 通过不寻常的父目录创建隐藏目录
- 通过隐藏标志创建隐藏文件和目录
- RDP 会话中进程参数的平均值较高
- RDP 会话持续时间的平均值较高
- 通过 PAT 克隆了大量 GitHub 存储库
- 为身份验证生成大量 Okta 设备令牌 Cookie
- 大量 Okta 用户密码重置或解锁尝试
- 大量进程终止
- 大量进程和/或服务终止
- RDP 会话持续时间差异较大
- 通过适用于 Linux 的 Windows 子系统更改主机文件系统
- Hosts 文件已修改
- Hping 进程活动
- IIS HTTP 日志记录已禁用
- IPSEC NAT 遍历端口活动
- IPv4/IPv6 转发活动
- 映像文件执行选项注入
- 加载了具有无效签名的映像
- 通过 Windows 更新自动更新客户端加载映像
- 入站连接到不安全的 Elasticsearch 节点
- 通过 MSHTA 传入 DCOM 横向移动
- 使用 MMC 传入 DCOM 横向移动
- 使用 ShellBrowserWindow 或 ShellWindows 传入 DCOM 横向移动
- 通过 PowerShell 远程处理传入执行
- 通过 WinRM 远程 Shell 传入执行
- 通过 Forfiles/Pcalua 间接命令执行
- 通过 Windows BITS 的入口传输
- 添加了不安全的 AWS EC2 VPC 安全组入口规则
- InstallUtil 活动
- InstallUtil 进程建立网络连接
- 安装自定义 Shim 数据库
- 安装安全支持提供程序
- 针对正在运行的容器启动交互式 exec 命令
- 不寻常的进程进行的交互式登录
- 通过 Perl 生成的交互式终端
- 通过 Python 生成的交互式终端
- KRBTGT 委派后门
- Kerberos 缓存凭据转储
- 禁用用户的 Kerberos 预身份验证
- 来自不寻常进程的 Kerberos 流量
- 内核驱动程序加载
- 非 root 用户加载内核驱动程序
- 检测到通过 Kexec 进行的内核加载或卸载
- 通过 insmod 加载内核模块
- 内核模块移除
- 通过命令行检索钥匙串密码
- Kirbi 文件创建
- Kubernetes 匿名请求已授权
- 创建了具有过度 Linux 功能的 Kubernetes 容器
- Kubernetes 拒绝服务帐户请求
- 创建了类型为 NodePort 的 Kubernetes 公开服务
- 创建了具有 HostIPC 的 Kubernetes Pod
- 创建了具有 HostNetwork 的 Kubernetes Pod
- 创建了具有 HostPID 的 Kubernetes Pod
- 创建了具有敏感 hostPath 卷的 Kubernetes Pod
- 创建了特权 Kubernetes Pod
- Kubernetes 可疑地分配了控制器服务帐户
- Kubernetes 可疑的自我主题审查
- Kubernetes 用户 exec 进入 Pod
- LSASS 内存转储创建
- LSASS 内存转储句柄访问
- 通过 Windows API 访问 LSASS 进程
- 通过启动文件夹进行横向移动
- 创建或修改启动代理并立即加载
- 创建或修改启动守护进程并立即加载
- 检测到 Linux 剪贴板活动
- Linux 组创建
- 通过 GDB 进行 Linux 进程挂钩
- 通过 Linux 二进制文件(们)突破 Linux 限制性 Shell
- Linux SSH X11 转发
- Linux 系统信息发现
- Linux 用户帐户创建
- 将 Linux 用户添加到特权组
- 通过 GDB 转储 Linux init (PID 1) 机密信息
- 禁用本地帐户 TokenFilter 策略
- 本地计划任务创建
- 禁用 MFA 且不重新激活 Okta 用户帐户
- 为 Google Workspace 组织禁用 MFA
- MS Office 宏安全注册表修改
- MacOS 安装程序包生成网络事件
- 机器学习检测到使用已知 SUNBURST DNS 域的 DGA 活动
- 机器学习检测到预测为 DGA 域的 DNS 请求
- 机器学习检测到具有高 DGA 概率分数的 DNS 请求
- 机器学习检测到具有高恶意概率分数的 Windows 可疑事件
- 机器学习检测到具有低恶意概率分数的 Windows 可疑事件
- 恶意软件 - 已检测到 - Elastic Endgame
- 恶意软件 - 已阻止 - Elastic Endgame
- 文件名后伪装空格
- 从 GitHub 组织中删除成员
- 具有不寻常扩展名的内存转储文件
- 内存交换修改
- 每日消息 (MOTD) 文件创建
- Microsoft 365 Exchange 反网络钓鱼策略删除
- Microsoft 365 Exchange 反网络钓鱼规则修改
- Microsoft 365 Exchange DKIM 签名配置已禁用
- Microsoft 365 Exchange DLP 策略已删除
- Microsoft 365 Exchange 恶意软件筛选器策略删除
- Microsoft 365 Exchange 恶意软件筛选器规则修改
- Microsoft 365 Exchange 管理组角色分配
- Microsoft 365 Exchange 安全附件规则已禁用
- Microsoft 365 Exchange 安全链接策略已禁用
- Microsoft 365 Exchange 传输规则创建
- Microsoft 365 Exchange 传输规则修改
- 已分配 Microsoft 365 全局管理员角色
- 已创建 Microsoft 365 收件箱转发规则
- 来自罕见位置的 Microsoft 365 门户登录
- 来自不可能的旅行位置的 Microsoft 365 门户登录
- Microsoft 365 潜在的勒索软件活动
- 允许 Microsoft 365 Teams 自定义应用程序交互
- 已启用 Microsoft 365 Teams 外部访问
- 已启用 Microsoft 365 Teams 访客访问
- Microsoft 365 文件删除量异常
- Microsoft 365 用户被限制发送电子邮件
- Microsoft Build Engine 启动了不寻常的进程
- 脚本进程启动 Microsoft Build Engine
- 系统进程启动 Microsoft Build Engine
- Office 应用程序启动 Microsoft Build Engine
- Microsoft Build Engine 使用其他名称
- Microsoft Exchange Server UM 生成可疑进程
- Microsoft Exchange Server UM 写入可疑文件
- Microsoft Exchange 传输代理安装脚本
- Microsoft Exchange Worker 生成可疑进程
- Microsoft IIS 连接字符串解密
- 已转储 Microsoft IIS 服务帐户密码
- 来自不寻常路径的 Microsoft 管理控制台文件
- Microsoft Windows Defender 篡改
- 检测到 Mimikatz Memssp 日志文件
- 修改 AmsiEnable 注册表项
- 修改启动配置
- 修改动态链接器预加载共享对象
- 修改容器内的动态链接器预加载共享对象
- 通过未签名或不受信任的父进程修改环境变量
- 修改 OpenSSH 二进制文件
- 通过 Defaults 命令修改 Safari 设置
- 修改标准身份验证模块或配置
- 修改 WDigest 安全提供程序
- 修改 msPKIAccountCredentials
- 修改或删除 Okta 应用程序登录策略
- Mofcomp 活动
- 在特权容器内启动挂载
- 挂载隐藏或 WebDav 远程共享
- MsBuild 建立网络连接
- Mshta 建立网络连接
- MsiExec 服务子进程建立网络连接
- 为 Azure 用户禁用多因素身份验证
- 涉及用户的多个警报
- 单个主机上不同 ATT&CK 策略中的多个警报
- 单个 Okta 会话的多个设备令牌哈希
- 多次登录失败，然后登录成功
- 来自同一源地址的多次登录失败
- 检测到单个用户的多个 Okta 会话
- 在代理后方，具有相同设备令牌哈希的多个 Okta 用户身份验证事件
- 具有客户端地址的多个 Okta 用户身份验证事件
- 具有相同设备令牌哈希的多个 Okta 用户身份验证事件
- 多次读取 Vault Web 凭据
- 我的第一个规则
- 通过 Wbadmin 进行 NTDS 转储
- 复制了 NTDS 或 SAM 数据库文件
- 使用 Unshare 操作命名空间
- 在容器内建立 Netcat 侦听器
- 通过 rlwrap 建立 Netcat 侦听器
- Netsh 帮助程序 DLL
- 通过 Kworker 检测到网络活动
- 通过 cat 检测到网络活动
- SSHD 子进程启动的网络连接
- Cups 或 Foomatic-rip 子进程的网络连接
- 具有 RWX 内存区域的二进制文件建立的网络连接
- 通过 Certutil 进行网络连接
- 通过已编译的 HTML 文件进行网络连接
- 通过 MsXsl 进行网络连接
- 通过最近编译的可执行文件进行网络连接
- 通过注册实用程序进行网络连接
- 通过签名二进制文件进行网络连接
- 通过 Sudo 二进制文件进行网络连接
- 通过 XDG Autostart 条目启动的网络连接
- 网络登录提供程序注册表修改
- 通过 CAP_NET_RAW 进行网络流量捕获
- 到罕见目标国家的网络流量
- 已禁用网络级身份验证 (NLA)
- 通过 PowerShell 添加了新的 ActiveSyncAllowedDeviceID
- 已安装新的 GitHub 应用程序
- 已添加新的 GitHub 所有者
- 检测到新的 Okta 身份验证行为
- 管理员添加了新的 Okta 身份提供程序 (IdP)
- 已将新用户添加到 GitHub 组织
- 新的或修改的联合域
- Nping 进程活动
- NullSessionPipe 注册表修改
- 用户报告为恶意软件或网络钓鱼的 O365 电子邮件
- O365 过多的单点登录错误
- O365 Exchange 可疑的邮箱权限委派
- O365 邮箱审核日志记录绕过
- Office 测试注册表持久性
- Okta 暴力破解或密码喷洒攻击
- Okta FastPass 网络钓鱼检测
- 通过第三方 IdP 的 Okta 登录事件
- Okta ThreatInsight 可疑威胁升级
- Okta 用户会话伪装
- 从不同地理位置启动的 Okta 用户会话
- OneDrive 恶意软件文件上传
- Openssl 客户端或服务器活动
- 通过 PowerShell 的出站计划任务活动
- Outlook 主页注册表修改
- 父进程 PID 欺骗
- 外围设备发现
- 权限盗窃 - 检测到 - Elastic Endgame
- 权限盗窃 - 已阻止 - Elastic Endgame
- 通过 BITS 作业通知 Cmdline 持久化
- 通过 DirectoryService 插件修改持久化
- 通过 Docker 快捷方式修改持久化
- 通过文件夹操作脚本持久化
- 检测到通过隐藏的运行键持久化
- 通过 KDE 自动启动脚本或桌面文件修改持久化
- 通过登录或注销钩子持久化
- 通过 Microsoft Office 加载项持久化
- 通过 Microsoft Outlook VBA 持久化
- 通过 PowerShell 配置文件持久化
- 通过计划作业创建持久化
- 通过遥测控制器计划任务劫持持久化
- 通过更新协调器服务劫持持久化
- 通过 WMI 事件订阅持久化
- 通过 WMI 标准注册表提供程序持久化
- 通过 Windows 安装程序持久化
- 启动目录中的持久性脚本
- 端口转发规则添加
- 可能通过 Azure 注册应用程序进行的同意授予攻击
- 可能的 FIN7 DGA 命令和控制行为
- 可能的 Okta DoS 攻击
- 可能通过通配符记录创建进行的 ADIDNS 投毒
- 可能的 AWS S3 存储桶勒索软件注释上传
- 高令牌计数和大型响应大小可能滥用资源
- 可能的 Active Directory 复制帐户后门
- 可能的管理员组帐户添加
- 可能通过 PowerShell 绕过反恶意软件扫描接口
- 可能通过 Sdbinst 进行的应用程序 Shim
- 检测到可能的缓冲区溢出攻击
- 可能通过挂载进行的 Chroot 容器逃逸
- 可能通过 Postgresql 执行代码
- 可能通过 Internet Explorer 进行命令和控制
- 可能通过修改的 notify_on_release 文件进行的容器逃逸
- 可能通过修改的 release_agent 文件进行的容器逃逸
- 可能通过浏览器调试进行的 Cookies 盗窃
- 可能通过 DCSync 进行的凭据访问
- 可能通过 LSASS 中的 DuplicateHandle 进行的凭据访问
- 可能通过 LSASS 内存转储进行的凭据访问
- 可能通过内存转储文件创建进行的凭据访问
- 可能通过重命名的 COM+ 服务 DLL 进行的凭据访问
- 可能通过可信开发人员实用程序进行的凭据访问
- 可能通过 Windows 实用程序进行的凭据访问
- 可能的跨站点脚本 (XSS)
- 可能的 DGA 活动
- 可能通过 Microsoft 反恶意软件服务可执行文件进行的 DLL 侧加载
- 可能通过可信 Microsoft 程序进行的 DLL 侧加载
- 可能通过 NsLookup 进行的 DNS 隧道
- 可能向异常目标端口进行的数据泄露活动
- 可能向异常 IP 地址进行的数据泄露活动
- 可能向异常 ISO 代码进行的数据泄露活动
- 可能向异常区域进行的数据泄露活动
- 检测到可能的数据拆分
- 可能通过 CMSTP.exe 进行的防御规避
- 可能通过 Doas 进行的防御规避
- 可能通过 PRoot 进行的防御规避
- 可能禁用 AppArmor
- 可能禁用 SELinux
- 可能通过 Active Directory Web 服务进行的枚举
- 可能通过易受攻击的 MSI 修复进行的提权
- 可能通过筛选器管理器进行的规避
- 可能通过 Windows 筛选平台进行的规避
- 可能执行 rc.local 脚本
- 可能通过 XZBackdoor 执行
- 可能利用未加引号的服务路径漏洞
- 检测到可能的外部 Linux SSH 暴力破解
- 可能通过无头浏览器进行的文件下载
- 可能通过 Certreq 进行的文件传输
- 可能的 Foxmail 利用
- 可能的十六进制有效负载执行
- 可能创建隐藏的本地用户帐户
- 可能通过 Mount Hidepid 隐藏进程
- 检测到可能的内部 Linux SSH 暴力破解
- 可能的 Invoke-Mimikatz PowerShell 脚本
- 可能的 JAVA/JNDI 利用尝试
- 可能通过 Bifrost 进行的 Kerberos 攻击
- 可能的 LSA 身份验证包滥用
- 可能通过 PssCaptureSnapShot 创建的 LSASS 克隆
- 可能通过 PssCaptureSnapShot 进行的 LSASS 内存转储
- 可能通过 SMB 共享进行的横向工具传输
- 可能的 Linux 后门用户帐户创建
- 可能通过 Proc 文件系统进行的 Linux 凭据转储
- 可能通过 Unshadow 进行的 Linux 凭据转储
- 可能启动了 Linux 黑客工具
- 检测到可能的 Linux 本地帐户暴力破解
- 检测到可能的 Linux 勒索软件注释创建
- 可能的 Linux 隧道和/或端口转发
- 可能通过 HTTP 进行的本地 NTLM 中继
- 可能伪装成浏览器进程
- 可能伪装成商业应用程序安装程序
- 可能伪装成通信应用程序
- 可能伪装成 System32 DLL
- 可能伪装成 System32 可执行文件
- 可能伪装成 VLC DLL
- 可能的内存查找活动
- 可能的 Meterpreter 反向 Shell
- 可能的 Microsoft Office 沙箱规避
- 可能修改辅助功能二进制文件
- 检测到可能的网络扫描
- 从主机执行的可能网络扫描
- 可能的网络共享发现
- 检测到可能的网络扫描
- 可能的非标准端口 HTTP/HTTPS 连接
- 可能的非标准端口 SSH 连接
- 可能通过推送通知进行的 Okta MFA 轰炸
- 可能的 OpenSSH 后门日志活动
- 异常进程进行的可能出站 RDP 连接
- 可能的传递哈希 (PtH) 尝试
- 可能通过 Atom 初始化脚本修改持久化
- 可能通过文件修改持久化
- 可能通过登录钩子持久化
- 可能通过定期任务持久化
- 可能通过时间提供程序修改持久化
- 可能滥用端口监视器或打印处理器注册
- 作者提供的 PowerShell 黑客工具脚本
- 函数名称提供的 PowerShell 黑客工具脚本
- 可能的 PowerShell 混淆脚本
- 可能的 PowerShell 传递哈希/中继脚本
- 可能通过 Localhost 安全复制绕过隐私控制
- 可能通过 TCCDB 修改绕过隐私控制
- 可能通过可写 Docker 套接字进行的提权
- 可能通过 CVE-2023-4911 进行的提权
- 可能通过容器错误配置进行的提权
- 可能通过 Enlightenment 进行的提权
- 可能通过 InstallerFileTakeOver 进行的提权
- 可能通过 Linux DAC 权限进行的提权
- 可能通过 OverlayFS 进行的提权
- 可能通过 PKEXEC 进行的提权
- 可能通过 Python cap_setuid 进行的提权
- 可能通过最近编译的可执行文件进行的提权
- 可能通过服务 ImagePath 修改进行的提权
- 可能通过 Sudoers 文件修改进行的提权
- 检测到可能通过 UID INT_MAX 错误进行的提权
- 可能通过 SamAccountName 欺骗进行的特权提升
- 可能来自恶意文档的进程注入
- 可能通过 PowerShell 进行的进程注入
- 可能通过 Chisel 客户端进行的协议隧道
- 可能通过 Chisel 服务器进行的协议隧道
- 可能通过 EarthWorm 进行的协议隧道
- 检测到可能的 Pspy 进程监视
- 可能的勒索软件行为 - 系统读取的自述文件数量较多
- 可能通过 SMB 放置的勒索软件注释文件
- 可能针对域控制器的中继攻击
- 可能通过 Web 服务器进行的远程代码执行
- 可能通过注册表进行的远程凭据访问
- 可能的远程桌面阴影活动
- 检测到可能的远程桌面隧道
- 可能通过 MSIEXEC 进行的远程文件执行
- 可能的反向 Shell
- 可能通过终端进行的反向 Shell 活动
- 可能通过后台进程进行的反向 Shell
- 可能通过子进程进行的反向 Shell
- 可能通过 Java 进行的反向 Shell
- 可能通过可疑二进制文件进行的反向 Shell
- 可能通过可疑子进程进行的反向 Shell
- 可能通过 UDP 进行的反向 Shell
- 可能下载了 SSH-IT SSH 蠕虫
- 检测到可能基于 SYN 的网络扫描
- 可能通过 SDelete 实用程序进行的安全文件删除
- 可能添加到 AD 对象的影子凭据
- 可能通过命令行实用程序读取影子文件
- 可能的 SharpRDP 行为
- 检测到可能通过通配符注入进行的 Shell
- 检测到可能的成功 Linux FTP 暴力破解攻击
- 检测到可能的成功 Linux RDP 暴力破解攻击
- 可能的成功 SSH 暴力破解攻击
- 可能的 Sudo 劫持
- 可能通过 CVE-2019-14287 进行的 Sudo 特权提升
- 可能通过进程注入进行的 Sudo 令牌操纵
- 可能的调试文件系统根设备可疑访问
- 可能的可疑文件编辑
- 检测到可能通过通配符注入进行的未授权访问
- 可能升级非交互式 Shell
- 可能的 Veeam 凭据访问命令
- 可能通过 DNS 记录创建进行的 WPAD 欺骗
- 可能利用 WSUS 进行横向移动
- 可能在多个主机上发生的广泛恶意软件感染
- 可能的 Windows 错误管理器伪装
- 可能通过 CcmExec 进行的 Windows 会话劫持
- 可能利用 curl CVE-2023-38545
- 检测到可能的 macOS SSH 暴力破解
- 可能通过 CVE-2022-38028 进行的特权提升
- 可能通过推送通知进行的成功 MFA 轰炸
- 可能通过 tmux 或 screen 启动的可疑进程
- PowerShell Invoke-NinjaCopy 脚本
- PowerShell Kerberos 票证转储
- PowerShell Kerberos 票证请求
- PowerShell 键盘记录脚本
- PowerShell 邮箱收集脚本
- PowerShell MiniDump 脚本
- PowerShell PSReflect 脚本
- PowerShell 脚本块日志记录已禁用
- 具有存档压缩功能的 PowerShell 脚本
- 具有发现功能的 PowerShell 脚本
- 具有加密/解密功能的 PowerShell 脚本
- 具有日志清除功能的 PowerShell 脚本
- 具有密码策略发现功能的 PowerShell 脚本
- 通过 WinRM 具有远程执行功能的 PowerShell 脚本
- 具有令牌伪装功能的 PowerShell 脚本
- 具有 Veeam 凭据访问功能的 PowerShell 脚本
- 具有网络摄像头视频捕获功能的 PowerShell 脚本
- 具有 Windows Defender 篡改功能的 PowerShell 脚本
- PowerShell 共享枚举脚本
- PowerShell 与发现相关的可疑 Windows API 函数
- PowerShell 具有编码和压缩的可疑有效负载
- PowerShell 具有音频捕获功能的可疑脚本
- PowerShell 具有剪贴板检索功能的可疑脚本
- PowerShell 具有屏幕截图功能的可疑脚本
- 打印机用户 (lp) Shell 执行
- 私钥搜索活动
- 通过 CAP_CHOWN/CAP_FOWNER 功能进行的提权
- 通过 CAP_SETUID/SETGID 功能进行的提权
- 通过 GDB CAP_SYS_PTRACE 进行的提权
- 通过命名管道伪装进行的提权
- 通过恶意命名管道伪装进行的提权
- 通过 Root Crontab 文件修改进行的提权
- 通过 SUID/SGID 进行的提权
- 通过 Windir 环境变量进行的提权
- 特权帐户暴力破解
- 特权 Docker 容器创建
- 通过父进程 PID 欺骗进行的特权提升
- 通过编译的 HTML 文件进行的进程活动
- 进程功能枚举
- 通过 setcap 实用程序设置的进程功能
- 使用重复令牌创建的进程
- 以提升的令牌创建的进程
- 通过辅助登录创建进程
- 使用内置工具发现进程
- 通过内置应用程序发现进程
- 从异常目录执行的进程
- 进程注入 - 检测到 - Elastic Endgame
- 进程注入 - 已阻止 - Elastic Endgame
- 通过 Microsoft Build Engine 进行的进程注入
- 从每日消息 (MOTD) 产生的进程
- 从进程 ID (PID) 文件启动的进程
- 进程终止后删除
- 带有尾随空格的进程
- Program Files 目录伪装
- 使用 OSASCRIPT 提示输入凭据
- ProxyChains 活动
- PsExec 网络连接
- 不受信任或未签名的进程删除了隔离属性
- 使用内置工具查询注册表
- 来自 Internet 的 RDP（远程桌面协议）
- 通过注册表启用的 RDP
- ROT 编码的 Python 脚本执行
- 来自 Internet 的 RPC（远程过程调用）
- 到 Internet 的 RPC（远程过程调用）
- 由异常父进程安装的 RPM 包
- 勒索软件 - 检测到 - Elastic Endgame
- 勒索软件 - 已阻止 - Elastic Endgame
- 从 AWS SecretsManager 快速检索密钥的尝试
- Rapid7 威胁命令 CVE 关联
- 罕见的 AWS 错误代码
- 罕见的 SMB 到 Internet 的连接
- 罕见的用户登录
- 通过 AppCert DLL 实现的注册表持久性
- 通过 AppInit DLL 实现的注册表持久性
- 远程计算机帐户 DnsHostName 更新
- 通过 Netsh 在 Windows 防火墙中启用的远程桌面
- 从可疑路径打开的远程桌面文件
- 通过文件共享的远程执行
- 远程文件复制到隐藏共享
- 通过 TeamViewer 的远程文件复制
- 通过 Desktopimgdownldr 实用程序远程文件下载
- 通过 MpCmdRun 远程文件下载
- 通过 PowerShell 远程文件下载
- 通过脚本解释器远程文件下载
- 通过 systemsetup 命令启用的远程 SSH 登录
- 远程计划任务创建
- 通过 RPC 远程计划任务创建
- 远程系统发现命令
- 安装的远程 Windows 服务
- 通过 COM 的远程 XSL 脚本执行
- 通过 RPC 远程启动的服务
- 重命名的 AutoIt 脚本解释器
- 使用短程序名称执行的重命名实用程序
- 根证书安装
- 通过 GDB CAP_SYS_PTRACE 的根网络连接
- 从 Internet 下载的 Roshal Archive (RAR) 或 PowerShell 文件
- Route53 解析器查询日志配置已删除
- SELinux 配置创建或重命名
- SIP 提供程序修改
- SMB（Windows 文件共享）到 Internet 的活动
- 通过 LOLBin 或不受信任的进程进行的 SMB 连接
- 26/TCP 端口上的 SMTP
- SSH 授权密钥文件修改
- 容器内修改的 SSH 授权密钥文件
- 在运行的容器内建立的 SSH 连接
- 通过 ssh-keygen 生成的 SSH 密钥
- 从容器内部启动的 SSH 进程
- SSL 证书删除
- 已启动到 EC2 实例的 SSM 会话
- SUID/SGID 位设置
- 检测到 SUID/SGUID 枚举
- SUNBURST 命令和控制活动
- 由 Windows 脚本创建的计划任务
- 通过 GPO 大规模执行的计划任务
- 启用的计划任务 AT 命令
- ScreenConnect 服务器生成的可疑进程
- 由意外进程修改的屏幕保护程序 Plist 文件
- 通过 Microsoft HTML 应用程序执行的脚本
- 由可疑进程启用的 SeDebugPrivilege
- 通过 VaultCmd 搜索保存的凭据
- 通过常用实用程序进行的安全性文件访问
- 使用 WMIC 发现的安全软件
- 通过 Grep 发现的安全软件
- 检测到段错误
- 敏感文件压缩
- 容器内的敏感文件压缩
- 在容器内搜索到的敏感密钥或密码
- 分配给用户的敏感权限 SeEnableDelegationPrivilege
- 通过 RegBack 进行的敏感注册表配置单元访问
- 服务命令横向移动
- 通过脚本解释器产生的服务控制
- 通过本地 Kerberos 身份验证创建的服务
- 通过 sc.exe 进行的服务 DACL 修改
- 通过注册表修改禁用的服务
- 服务路径修改
- 通过 sc.exe 进行的服务路径修改
- Setcap setuid/setgid 功能集
- 阴影文件修改
- SharePoint 恶意软件文件上传
- 由先前未知进程创建或更改的共享对象
- Shell 配置创建或修改
- 通过 Apple 脚本执行 Shell
- 在启动文件夹中写入或修改的快捷方式文件
- 通过 MS 工作文件夹执行的签名代理
- SoftwareUpdate 首选项修改
- SolarWinds 进程通过注册表禁用服务
- AWS 错误消息激增
- 发送到外部设备的字节激增
- 通过 Airdrop 发送到外部设备的字节激增
- 登录失败事件激增
- 防火墙拒绝激增
- 登录事件激增
- 网络流量激增
- 到某个国家的网络流量激增
- 从源 IP 建立的连接数激增
- 与目标 IP 建立的连接数激增
- RDP 会话中的进程数激增
- 远程文件传输激增
- 来自源 IP 的成功登录事件激增
- 通过未签名进程进行的启动文件夹持久性
- 通过可疑进程进行的启动持久性
- 启动或运行键注册表修改
- 添加到组策略对象的启动/登录脚本
- 统计模型检测到 C2 信标活动
- 统计模型检测到具有高置信度的 C2 信标活动
- 在 MFA 重置后用于登录 Okta 帐户的被盗凭据
- Sublime 插件或应用程序脚本修改
- 来自罕见未知客户端设备的成功应用程序 SSO
- 检测到 Sudo 命令枚举
- Sudo 基于堆的缓冲区溢出尝试
- Sudoers 文件修改
- 可疑的 .NET 代码编译
- 通过 PowerShell 的可疑 .NET 反射
- 可疑的 /proc/maps 发现
- 可疑的 APT 包管理器执行
- 可疑的 APT 包管理器网络连接
- 对 LDAP 属性的可疑访问
- Okta 用户报告的可疑活动
- 可疑的反恶意软件扫描接口 DLL
- 可疑的 Automator 工作流执行
- 可疑的浏览器子进程
- 可疑的日历文件修改
- 可疑的 CertUtil 命令
- Adobe Acrobat Reader 更新服务的可疑子进程
- 通过 WMI 进行的可疑 Cmd 执行
- 可疑的通信应用子进程
- 通过 Funzip 提取或解压的可疑内容
- 可疑的 CronTab 创建或修改
- 为持久性或权限提升加载的可疑 DLL
- 通过 OpenSSL 实用程序进行的可疑数据加密
- 通过 od 进行的可疑动态链接器发现
- 可疑的 Emond 子进程
- 可疑的端点安全父进程
- 从 Foomatic-rip 或 Cupsd 父进程进行的可疑执行
- 从 INET 缓存进行的可疑执行
- 从已挂载设备进行的可疑执行
- 通过 MSIEXEC 进行的可疑执行
- 通过 Microsoft Office 加载项进行的可疑执行
- 通过计划任务进行的可疑执行
- 通过适用于 Linux 的 Windows 子系统进行的可疑执行
- 可疑的资源管理器子进程
- 在 /etc 中创建的可疑文件以实现持久性
- 通过 Kworker 创建的可疑文件
- 从 Google Drive 下载的可疑文件
- 通过 SMB 重命名的可疑文件
- 可疑的 HTML 文件创建
- Launchd 的可疑隐藏子进程
- 来自 MS Office 的可疑映像加载 (taskschd.dll)
- 可疑的 ImagePath 服务创建
- 通过 Outlook 进行的可疑进程间通信
- 从容器内部产生的可疑交互式 Shell
- 可疑的 JetBrains TeamCity 子进程
- 可疑的 Kworker UID 提升
- 通过 MalSecLogon 进行的可疑 LSASS 访问
- 可疑的 Lsass 进程访问
- 可疑的 MS Office 子进程
- 可疑的 MS Outlook 子进程
- 可疑的托管代码托管进程
- 可疑的内存 grep 活动
- 通过 ClientAppId 进行的可疑 Microsoft 365 邮件访问
- 可疑的 Microsoft 诊断向导执行
- 可疑的挖矿进程创建事件
- 可疑的 Modprobe 文件事件
- LSASS 加载的可疑模块
- 先前未知的可执行文件到 Internet 的可疑网络活动
- 通过 systemd 进行的可疑网络连接
- 在容器内启动的可疑网络工具
- 可疑的 PDF 阅读器子进程
- 可疑的 Passwd 文件事件操作
- 以 Powershell 脚本编码的可疑可移植可执行文件
- 可疑的 PowerShell 引擎 ImageLoad
- 通过 Windows 脚本进行的可疑 PowerShell 执行
- 可疑的 Powershell 脚本
- 可疑的打印后台处理程序文件删除
- 可疑的打印后台处理程序点和打印 DLL
- 创建的可疑打印后台处理程序 SPL 文件
- 可疑的 PrintSpooler 服务可执行文件创建
- 可疑的 Proc 伪文件系统枚举
- 通过直接系统调用进行的可疑进程访问
- 可疑的进程创建 CallTrace
- 通过重命名的 PsExec 可执行文件进行的可疑进程执行
- 已加载的可疑 RDP ActiveX 客户端
- 通过 SeBackupPrivilege 进行的可疑远程注册表访问
- ESXI 文件的可疑重命名
- ESXI index.html 文件的可疑重命名
- 可疑的 ScreenConnect 客户端子进程
- 可疑的脚本对象执行
- 系统中安装的可疑服务
- 可疑的 SolarWinds 子进程
- 可疑的启动 Shell 文件夹修改
- 创建的可疑符号链接
- 可疑的 Sysctl 文件事件
- 先前未知可执行文件执行的可疑系统命令
- ESXI 进程的可疑终止
- 可疑的故障排除包 Cabinet 执行
- 通过 ProxyChains 启动的可疑实用程序
- 创建的可疑 WMI 事件订阅
- 来自 MS Office 的可疑 WMI 映像加载
- 可疑的 WMIC XSL 脚本执行
- 可疑的 Web 浏览器敏感文件访问
- 可疑的 WerFault 子进程
- 可疑的 Windows 命令 Shell 参数
- 可疑的 Windows PowerShell 参数
- 主机生成的可疑 Windows 进程集群
- 父进程生成的可疑 Windows 进程集群
- 用户生成的可疑 Windows 进程集群
- 可疑的 Zoom 子进程
- 可疑的 macOS MS Office 子进程
- 可疑的 pbpaste 大量活动
- 可疑的 rc.local 错误消息
- 可疑的 which 枚举
- Svchost 生成 Cmd
- 创建指向卷影副本的符号链接
- 系统二进制文件被移动或复制
- 系统 Hosts 文件访问
- 通过 Windows 命令 Shell 发现系统信息
- 系统日志文件删除
- 系统网络连接发现
- 系统所有者/用户发现（Linux）
- 通过内置 Windows 实用程序发现系统服务
- 通过服务获取系统 Shell
- 系统时间发现
- 创建 System V Init 脚本
- 通过命令行访问 SystemKey
- 创建 Systemd 生成器
- 创建 Systemd 服务
- 由不常见的父进程启动的 Systemd 服务
- 创建 Systemd 计时器
- 创建 Systemd-udevd 规则文件
- 通过挂载 APFS 快照访问绕过 TCC
- 加载受污染的内核模块
- 加载受污染的树外内核模块
- 篡改 Shell 命令行历史记录
- 临时计划任务创建
- 通过意外进程删除第三方备份文件
- 威胁情报哈希指标匹配
- 威胁情报 IP 地址指标匹配
- 威胁情报 URL 指标匹配
- 威胁情报 Windows 注册表指标匹配
- 使用 Touch 命令进行时间戳修改
- 执行陷阱信号
- 尝试通过提升的 COM Internet Explorer 加载项安装程序绕过 UAC
- 尝试通过特权的 IFileOperation COM 接口绕过 UAC
- 尝试通过 Windows 目录伪装绕过 UAC
- 尝试使用 IEditionUpgradeManager 提升的 COM 接口绕过 UAC
- 通过 DiskCleanup 计划任务劫持绕过 UAC
- 通过 ICMLuaUtil 提升的 COM 接口绕过 UAC
- 通过 Windows 防火墙管理单元劫持绕过 UAC
- 从先前未知的可执行文件提升 UID
- 未经授权访问 Okta 应用程序
- 使用客户端凭据进行公共应用程序 OAuth2 令牌授予的未经授权范围
- 不常见的注册表持久性更改
- macOS 屏幕保护程序引擎的意外子进程
- Unix 套接字连接
- 执行具有 RWX 内存区域的未知二进制文件
- 未签名的 BITS 服务客户端进程
- Svchost 加载的未签名 DLL
- 受信任进程加载的未签名 DLL
- 从可疑文件夹加载的未签名 DLL 侧加载
- DNS 服务加载的未签名 DLL
- Azure AD 同步服务加载的不受信任 DLL
- 加载不受信任的驱动程序
- 用户的不常见的 AWS 命令
- 来自系统虚拟进程的不常见的子进程
- dns.exe 的不常见的子进程
- RunDLL32 的不常见的子进程
- AWS 命令的不常见城市
- AWS 命令的不常见国家/地区
- 不常见的 DNS 活动
- 不常见的 DPKG 执行
- 用户不常见的发现活动
- 具有不常见的进程命令行的不常见发现信号警报
- 具有不常见的进程可执行文件的不常见发现信号警报
- 系统关键进程创建的不常见的可执行文件
- 通过 Microsoft 通用控制台文件进行的不常见执行
- 不常见的文件创建 - 备用数据流
- dns.exe 的不常见文件修改
- 检测到不常见的高置信度内容筛选器阻止
- 检测到不常见的高拒绝敏感信息策略阻止
- 检测到不常见的高拒绝主题阻止
- 检测到不常见的高单词策略阻止
- 用户登录的不常见时间
- 不常见的实例元数据服务 (IMDS) API 请求
- 从系统用户启动的不常见的交互式 Shell
- 不常见的 Linux 网络活动
- 不常见的 Linux 网络配置发现
- 不常见的 Linux 网络连接发现
- 不常见的 Linux 网络端口活动
- 调用元数据服务的不常见 Linux 进程
- 不常见的 Linux 进程发现活动
- 不常见的 Linux 系统信息发现活动
- 调用元数据服务的不常见 Linux 用户
- 不常见的 Linux 用户发现活动
- 不常见的 Linux 用户名
- 不常见的登录活动
- 来自 Windows 系统二进制文件的不常见网络活动
- 通过 DllHost 的不常见网络连接
- 通过 RunDLL32 的不常见网络连接
- 不常见的网络目标域名
- cmd.exe 的不常见的父进程
- 不常见的父子关系
- 通过服务注册表进行的不常见持久化
- 不常见的打印后台处理程序子进程
- 不常见的进程执行路径 - 备用数据流
- 在 WBEM 路径上的不常见进程执行
- 不常见的进程扩展名
- MSSQL 服务帐户的不常见进程
- Linux 主机的不常见进程
- Windows 主机的不常见进程
- 不常见的进程网络连接
- 主机生成的不常见进程
- 父进程生成的不常见进程
- 用户生成的不常见进程
- 不常见进程将数据写入外部设备
- 不常见的远程文件目录
- 不常见的远程文件扩展名
- 不常见的远程文件大小
- 不常见的服务主机子进程 - 无子进程服务
- 用户登录的不常见源 IP
- 不常见的 Sudo 活动
- RDP 会话的不常见时间或日期
- 通过 id 进行的不常见用户特权枚举
- 不常见的 Web 请求
- 不常见的 Web 用户代理
- 不常见的 Windows 网络活动
- 不常见的 Windows 路径活动
- 调用元数据服务的不常见 Windows 进程
- 不常见的 Windows 远程用户
- 不常见的 Windows 服务
- 调用元数据服务的不常见 Windows 用户
- 不常见的 Windows 用户特权提升活动
- 不常见的 Windows 用户名
- 用户帐户创建
- 将用户添加为 Azure 应用程序的所有者
- 将用户添加为 Azure 服务主体所有者
- 将用户添加到特权组
- 将用户添加到管理员组
- 用户帐户暴露于 Kerberoasting
- 用户或组的创建/修改
- 来自 Internet 的 VNC（虚拟网络计算）
- 到 Internet 的 VNC（虚拟网络计算）
- 不常见进程加载的 Veeam 备份库
- 虚拟机指纹识别
- 通过 Grep 进行的虚拟机指纹识别
- 虚拟专用网络连接尝试
- 通过 VssAdmin 删除或调整大小的卷影副本
- 通过 PowerShell 删除的卷影副本
- 通过 WMIC 删除的卷影副本
- WMI 传入横向移动
- WMI WBEMTEST 实用程序执行
- WMIC 远程命令
- 通过 DLL 劫持进行的 WPS Office 利用
- 对 Active Directory 对象执行 WRITEDAC 访问
- Web 应用程序可疑活动：POST 请求被拒绝
- Web 应用程序可疑活动：未经授权的方法
- Web 应用程序可疑活动：sqlmap 用户代理
- 通过 Python 生成的 Web 服务器
- Web Shell 检测：常用 Web 进程的脚本进程子进程
- WebProxy 设置修改
- 删除的 Web 服务器访问日志
- Werfault ReflectDebugger 持久性
- Whoami 进程活动
- Windows 帐户或组发现
- Windows CryptoAPI 欺骗漏洞（CVE-2020-0601 - CurveBall）
- 通过注册表修改禁用的 Windows Defender
- 通过 PowerShell 添加的 Windows Defender 排除项
- 清除的 Windows 事件日志
- 通过 PowerShell 禁用的 Windows 防火墙
- 具有可疑属性的 Windows 安装程序
- Windows 网络枚举
- 在 SMB 共享中创建 Windows 注册表文件
- Windows 脚本执行 PowerShell
- Windows 脚本解释器通过 WMI 执行进程
- 通过不常见客户端安装的 Windows 服务
- 安装的 Windows Linux 子系统发行版
- 通过 Dism 实用程序启用的 Windows Linux 子系统
- Windows 系统信息发现
- Windows 系统网络连接发现
- 使用 Netsh 命令转储无线凭据
- Yum 包管理器插件文件创建
- Yum/DNF 插件状态发现
- 无密码的 Zoom 会议
- rc.local/rc.common 文件创建
- 可下载的规则更新
- 使用 Elastic Defend 配置端点保护
- 管理 Elastic Defend
- 端点响应操作
- 云安全
- 仪表板
- 探索
- 高级实体分析
- 调查工具
- Elastic Security API
- Elastic Security 字段和对象模式
- 故障排除
- 发行说明