Microsoft IIS 连接字符串解密

识别使用 aspnet_regiis 解密 Microsoft IIS 连接字符串的行为。攻击者如果通过 webshell 或类似方式获得了 Microsoft IIS Web 服务器的访问权限，可以使用 aspnet_regiis 命令解密并转储任何硬编码的连接字符串，例如 MSSQL 服务帐户密码。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅额外回溯时间)

每次执行的最大警报数: 33

参考:

标签:

域: 终端
操作系统: Windows
用例: 威胁检测
策略: 凭证访问
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: 系统
数据源: Microsoft Defender for Endpoint
数据源: Sysmon
数据源: SentinelOne
数据源: Crowdstrike

版本: 312

规则作者:

Elastic

规则许可: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  (process.name : "aspnet_regiis.exe" or ?process.pe.original_file_name == "aspnet_regiis.exe") and
  process.args : "connectionStrings" and process.args : "-pdf"

框架: MITRE ATT&CK^TM

策略
- 名称: 凭证访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
技术
- 名称: 操作系统凭证转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/

« Microsoft Exchange Worker 衍生可疑进程 Microsoft IIS 服务帐户密码转储 »