通过恶意命名管道模拟提权

设置

需要在 Sysmon 配置中启用命名管道创建事件，包含以下设置：condition equal "contains" and keyword equal "pipe"

如果在版本 <8.2 的非 elastic-agent 索引（例如 beats）上启用 EQL 规则，则事件将不会定义 event.ingested，并且 EQL 规则的默认回退功能直到 8.2 版本才添加。因此，为了使此规则有效工作，用户需要添加一个自定义的摄取管道来将 event.ingested 填充为 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

file where host.os.type == "windows" and event.action : "Pipe Created*" and
 /* normal sysmon named pipe creation events truncate the pipe keyword */
  file.name : "\\*\\Pipe\\*"

框架: MITRE ATT&CK^TM