作者编写的潜在 PowerShell 黑客工具脚本
编辑作者编写的潜在 PowerShell 黑客工具脚本
编辑检测 PowerShell 脚本中已知的 PowerShell 攻击工具作者的姓名。攻击者通常使用现成的攻击工具而不修改代码，其中可能仍然包含作者的痕迹。此规则识别在流行的红队演习 PowerShell 脚本中发现的常见作者句柄。
规则类型: 查询
规则索引:
- winlogbeat-*
- logs-windows.powershell*
严重性: 高
风险评分: 73
运行频率: 5 分钟
搜索索引范围: now-9m (日期数学格式，另请参阅 额外的回溯时间)
每次执行的最大警报数: 100
参考资料:
标签:
- 域: 端点
- 操作系统: Windows
- 用例: 威胁检测
- 策略: 执行
- 数据源: PowerShell 日志
版本: 104
规则作者:
- Elastic
规则许可证: Elastic License v2
设置
编辑设置
必须启用PowerShell 脚本块日志记录日志策略。使用高级审核配置实施日志记录策略的步骤
Computer Configuration > Administrative Templates > Windows PowerShell > Turn on PowerShell Script Block Logging (Enable)
通过注册表实施日志记录策略的步骤
reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1
规则查询
编辑host.os.type:windows and event.category:process and
powershell.file.script_block_text : (
"mattifestation" or "JosephBialek" or
"harmj0y" or "ukstufus" or
"SecureThisShit" or "Matthew Graeber" or
"secabstraction" or "mgeeky" or
"oddvarmoe" or "am0nsec" or
"obscuresec" or "sixdub" or
"darkoperator" or "funoverip" or
"rvrsh3ll" or "kevin_robertson" or
"dafthack" or "r4wd3r" or
"danielhbohannon" or "OneLogicalMyth" or
"cobbr_io" or "xorrior" or
"PetrMedonos" or "citronneur" or
"eladshamir" or "RastaMouse" or
"enigma0x3" or "FuzzySec" or
"424f424f" or "jaredhaight" or
"fullmetalcache" or "Hubbl3" or
"curi0usJack" or "Cx01N" or
"itm4n" or "nurfed1" or
"cfalta" or "Scott Sutherland" or
"_nullbind" or "_tmenochet" or
"jaredcatkinson" or "ChrisTruncer" or
"monoxgas" or "TheRealWover" or
"splinter_code"
)
框架: MITRE ATT&CKTM
-
策略
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
-
技术
- 名称: 命令和脚本解释器
- ID: T1059
- 参考 URL: https://attack.mitre.org/techniques/T1059/
-
子技术
- 名称: PowerShell
- ID: T1059.001
- 参考 URL: https://attack.mitre.org/techniques/T1059/001/