进程注入 - 已阻止 - Elastic Endgame
编辑进程注入 - 已阻止 - Elastic Endgame
编辑Elastic Endgame 已阻止进程注入。点击 event.module 列中的 Elastic Endgame 图标或 rule.reference 列中的链接以获取更多信息。
规则类型: 查询
规则索引:
- endgame-*
严重性: 中
风险评分: 47
运行频率: 10 分钟
搜索索引起始时间: now-15m (日期数学格式，另请参阅 附加回溯时间)
每次执行的最大告警数: 10000
参考: 无
标签:
- 数据源: Elastic Endgame
- 使用案例: 威胁检测
- 战术: 权限提升
版本: 103
规则作者:
- Elastic
规则许可: Elastic License v2
设置
编辑设置
此规则被配置为生成比所有规则的默认设置 1000 个告警/次运行更多的 每次运行的最大告警数。这是为了确保它尽可能多地捕获告警。
重要提示： 规则的 每次运行的最大告警数 设置可以被 xpack.alerting.rules.run.alerts.max Kibana 配置设置覆盖，该设置决定了 Kibana 告警框架中任何规则生成的最大告警数。例如，如果 xpack.alerting.rules.run.alerts.max 设置为 1000，即使此规则自己的 每次运行的最大告警数 设置得更高，它仍然不会生成超过 1000 个告警。
为了确保此规则可以生成其自身 每次运行的最大告警数 设置中配置的尽可能多的告警，请相应地增加 xpack.alerting.rules.run.alerts.max 系统设置。
注意： 在无服务器项目中，无法更改 xpack.alerting.rules.run.alerts.max。
规则查询
编辑event.kind:alert and event.module:endgame and endgame.metadata.type:prevention and (event.action:kernel_shellcode_event or endgame.event_subtype_full:kernel_shellcode_event)
框架: MITRE ATT&CKTM
-
战术
- 名称：权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
-
技术
- 名称：进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/