潜在的 Linux 隧道和/或端口转发
编辑潜在的 Linux 隧道和/或端口转发
编辑此规则监控可用于隧道和端口转发的一组 Linux 实用程序。攻击者可以利用隧道和端口转发技术绕过网络防御，建立隐藏的通信通道，并获得对内部资源的未经授权的访问，从而促进数据泄露、横向移动和远程控制。
规则类型: eql
规则索引:
- logs-endpoint.events.*
- endgame-*
严重性: 中
风险评分: 47
运行频率: 5 分钟
搜索索引起始时间: now-9m (日期数学格式，另请参阅 其他回溯时间)
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Linux
- 用例：威胁检测
- 策略：命令和控制
- 数据源：Elastic Defend
- 数据源：Elastic Endgame
版本: 7
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑初步评估和分析
调查潜在的 Linux 隧道和/或端口转发
攻击者可以利用许多实用程序秘密地隧道传输网络通信并逃避安全措施，从而可能获得对敏感系统的未经授权的访问。
此规则通过分析进程名称或命令行参数来查找能够设置隧道网络通信的多个实用程序。
注意: 本调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在本指南中显示未呈现的 Markdown。本调查指南使用 占位符字段将警报数据动态传递到 Osquery 查询中。占位符字段是在 Elastic Stack 8.7.0 版本中引入的。如果您使用的是 Elastic Stack 8.6.0 或更早版本，则需要手动调整本调查指南的查询，以确保它们正确运行。
可能的调查步骤
- 识别任何可能指示协议隧道的异常网络活动或异常迹象。这可能包括意外的流量模式或不寻常的网络行为。
- 调查侦听端口和打开的套接字，以查找潜在的协议隧道、反向 shell 或数据泄露。
- !{osquery{"label":"Osquery - 检索侦听端口","query":"SELECT pid, address, port, socket, protocol, path FROM listening_ports"}}
- !{osquery{"label":"Osquery - 检索打开的套接字","query":"SELECT pid, family, remote_address, remote_port, socket, state FROM process_open_sockets"}}
- 识别执行该操作的用户帐户，分析它，并检查它是否应该执行此类操作。
- !{osquery{"label":"Osquery - 检索特定用户的信息","query":"SELECT * FROM users WHERE username = {{user.name}}"}}
- 调查用户当前是否已登录并处于活动状态。
- !{osquery{"label":"Osquery - 调查帐户身份验证状态","query":"SELECT * FROM logged_in_users WHERE user = {{user.name}}"}}
- 调查未知进程的脚本执行链（父进程树）。检查其可执行文件的普及率，以及它们是否位于预期位置。
- !{osquery{"label":"Osquery - 按用户检索运行进程","query":"SELECT pid, username, name FROM processes p JOIN users u ON u.uid = p.uid ORDER BY username"}}
- !{osquery{"label":"Osquery - 检索进程信息","query":"SELECT name, cmdline, parent, path, uid FROM processes"}}
- 调查过去 48 小时内与用户/主机相关的其他警报。
- 如果脚本或可执行文件被删除，请检索这些文件并确定它们是否是恶意文件
- 使用私有沙盒恶意软件分析系统执行分析。
- 观察并收集有关以下活动的信息
- 尝试联系外部域和地址。
- 检查域是否是新注册的或出乎意料的。
- 检查域或 IP 地址的信誉。
- 文件访问、修改和创建活动。
相关规则
- 通过 Chisel 客户端的潜在协议隧道 - 3f12325a-4cc6-410b-8d4c-9fbbeb744cfd
- 通过 Chisel 服务器的潜在协议隧道 - ac8805f6-1e08-406c-962e-3937057fa86f
- 通过 EarthWorm 的潜在协议隧道 - 9f1c4ca3-44b5-481d-ba42-32dc215a2769
- 通过 ProxyChains 启动的可疑实用程序 - 6ace94ba-f02c-4d55-9f53-87d99b6f9af4
- ProxyChains 活动 - 4b868f1f-15ff-4ba3-8c11-d5a7a6356d37
误报分析
- 如果此活动与新的良性软件安装活动相关，请考虑添加例外 - 最好结合用户和命令行条件。
- 如果此活动与使用端口隧道/转发执行良性目的的系统管理员或开发人员相关，请考虑为特定用户帐户或主机添加例外。
- 尝试通过考虑用户、计算机或业务目的来了解执行的上下文。少数端点（例如具有唯一软件的服务器）可能看起来不寻常，但满足特定的业务需求。
响应和补救
- 根据初步评估的结果启动事件响应过程。
- 隔离相关主机以防止进一步的入侵后行为。
- 如果初步评估确定了恶意软件，请在环境中搜索其他受损主机。
- 实施临时网络规则、程序和分段以遏制恶意软件。
- 停止可疑进程。
- 立即阻止已识别的入侵指标 (IoC)。
- 检查受影响的系统中是否存在其他恶意软件后门，例如反向 shell、反向代理或投放器，攻击者可以使用它们来重新感染系统。
- 删除和阻止在初步评估期间识别出的恶意工件。
- 调查受损或被攻击者使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他可能泄露的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
- 运行全面的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
- 确定攻击者滥用的初始向量，并采取行动以防止通过同一向量进行再次感染。
- 利用事件响应数据和日志来提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑设置
此规则需要来自 Elastic Defend 的数据。
Elastic Defend 集成设置
Elastic Defend 使用 Fleet 集成到 Elastic Agent 中。配置后，该集成允许 Elastic Agent 监控主机上的事件并将数据发送到 Elastic Security 应用程序。
先决条件要求
- Elastic Defend 需要 Fleet。
- 要配置 Fleet Server，请参阅文档。
应执行以下步骤才能在 Linux 系统上添加 Elastic Defend 集成
- 转到 Kibana 主页，然后单击“添加集成”。
- 在查询栏中，搜索“Elastic Defend”并选择该集成以查看有关它的更多详细信息。
- 单击“添加 Elastic Defend”。
- 配置集成名称并选择性地添加描述。
- 选择要保护的环境类型，可以是“传统端点”或“云工作负载”。
- 选择配置预设。每个预设都带有针对 Elastic Agent 的不同默认设置，您稍后可以通过配置 Elastic Defend 集成策略进一步自定义这些设置。帮助指南。
- 我们建议选择“完整 EDR（端点检测和响应）”作为配置设置，该设置提供“所有事件；所有预防措施”
- 在“新代理策略名称”中输入代理策略的名称。如果已存在其他代理策略，您可以单击“现有主机”选项卡，然后选择现有的策略。有关 Elastic Agent 配置设置的更多详细信息，请参阅帮助指南。
- 单击“保存并继续”。
- 要完成集成，请选择“将 Elastic Agent 添加到您的主机”，然后继续下一部分以在您的主机上安装 Elastic Agent。有关 Elastic Defend 的更多详细信息，请参阅帮助指南。
规则查询
编辑process where host.os.type == "linux" and event.type == "start" and event.action in ("exec", "exec_event") and (
(
// gost & pivotnacci - spawned without process.parent.name
(process.name == "gost" and process.args : ("-L*", "-C*", "-R*")) or (process.name == "pivotnacci")) or (
// ssh
(process.name in ("ssh", "sshd") and (process.args in ("-R", "-L", "-D", "-w") and process.args_count >= 4 and
not process.args : "chmod")) or
// sshuttle
(process.name == "sshuttle" and process.args in ("-r", "--remote", "-l", "--listen") and process.args_count >= 4) or
// socat
(process.name == "socat" and process.args : ("TCP4-LISTEN:*", "SOCKS*") and process.args_count >= 3) or
// chisel
(process.name : "chisel*" and process.args in ("client", "server")) or
// iodine(d), dnscat, hans, ptunnel-ng, ssf, 3proxy & ngrok
(process.name in ("iodine", "iodined", "dnscat", "hans", "hans-ubuntu", "ptunnel-ng", "ssf", "3proxy", "ngrok"))
) and process.parent.name in ("bash", "dash", "ash", "sh", "tcsh", "csh", "zsh", "ksh", "fish")
)
框架: MITRE ATT&CKTM
-
策略
- 名称：命令和控制
- ID：TA0011
- 参考 URL：https://attack.mitre.org/tactics/TA0011/
-
技术
- 名称：协议隧道
- ID：T1572
- 参考 URL：https://attack.mitre.org/techniques/T1572/