带有尾随空格的进程

识别攻击者包含尾随空格字符以模仿常规文件的情况，以此伪装其活动以规避默认文件处理机制。

规则类型: eql

规则索引:

严重性: 低

风险评分: 21

运行频率: 60 分钟

搜索索引范围从: now-119m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

版本: 2

规则作者:

规则许可证: Elastic License v2

process where event.type == "start" and event.action in ("exec", "exec_event", "executed", "process_started") and
process.name : "* "