› › ›

多次读取 Vault Web 凭据

编辑

多次读取 Vault Web 凭据

编辑

Windows 凭据管理器允许您创建、查看或删除用于登录网站、连接的应用程序和网络的保存凭据。攻击者可能会滥用此功能来列出或转储存储在凭据管理器中的用于保存的用户名和密码。这也可以在横向移动准备工作中执行。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中

风险评分: 47

运行频率: 5m

搜索索引时间范围: now-9m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：凭据访问
数据源：系统

版本: 111

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

如果在版本 <8.2 的非 elastic-agent 索引（例如 beats）上启用 EQL 规则，则事件将不会定义 event.ingested，并且在版本 8.2 之前没有添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充为 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

sequence by winlog.computer_name, winlog.process.pid with maxspan=1s

 /* 2 consecutive vault reads from same pid for web creds */

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

框架: MITRE ATT&CK^TM

策略
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
技术
- 名称：操作系统凭据转储
- ID：T1003
- 参考 URL：https://attack.mitre.org/techniques/T1003/
技术
- 名称：来自密码存储的凭据
- ID：T1555
- 参考 URL：https://attack.mitre.org/techniques/T1555/
子技术
- 名称：Windows 凭据管理器
- ID：T1555.004
- 参考 URL：https://attack.mitre.org/techniques/T1555/004/