› › ›

通过 GPO 大规模执行计划任务

编辑

通过 GPO 大规模执行计划任务

编辑

检测对组策略对象属性的修改，以在 GPO 控制的对象中执行计划任务。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: 无 ( 日期数学格式, 另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 权限提升
战术: 横向移动
数据源: Active Directory
资源: 调查指南
用例: Active Directory 监控
数据源: 系统

版本: 212

规则作者:

Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查通过 GPO 大规模执行的计划任务

攻击者可以使用组策略对象 (GPO) 来大规模执行计划任务，从而危及给定 GPO 控制的对象。这是通过更改 <GPOPath>\Machine\Preferences\ScheduledTasks\ScheduledTasks.xml 文件的内容来完成的。

可能的调查步骤

此攻击滥用了 Active Directory 的合法机制，因此确定该活动是否合法以及管理员是否被授权执行此操作非常重要。
检索 ScheduledTasks.xml 文件的内容，并检查 <Command> 和 <Arguments> XML 标签中是否有任何潜在的恶意命令或二进制文件。
调查过去 48 小时内与用户/主机相关的其他告警。
通过检索有关哪些对象受 GPO 控制的信息，确定可能受到威胁的对象范围。

误报分析

验证执行是否被允许并且在变更管理下完成，以及执行是否合法。

相关规则

用于权限添加的组策略滥用 - b9554892-5e0e-424b-83a0-5aef95aa43bf
添加到组策略对象的启动/登录脚本 - 16fac1a1-21ee-4ca6-b720-458e3855d046

响应和补救

根据分类的结果启动事件响应流程。
必须在 GPO 控制的每台计算机上执行调查和遏制，必要时。
从 GPO 中删除脚本。
检查其他 GPO 是否附加了可疑的计划任务。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

必须配置审核详细文件共享审核策略（成功失败）。使用高级审核配置实施日志策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
Object Access >
Audit Detailed File Share (Success,Failure)

必须配置审核目录服务更改审核策略（成功失败）。使用高级审核配置实施日志策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success,Failure)

规则查询

编辑

any where host.os.type == "windows" and event.code in ("5136", "5145") and
(
  (
    winlog.event_data.AttributeLDAPDisplayName : (
      "gPCMachineExtensionNames",
      "gPCUserExtensionNames"
    ) and
    winlog.event_data.AttributeValue : "*CAB54552-DEEA-4691-817E-ED4A4D1AFC72*" and
    winlog.event_data.AttributeValue : "*AADCED64-746C-4633-A97C-D61349046527*"
  ) or
  (
    winlog.event_data.ShareName : "\\\\*\\SYSVOL" and
    winlog.event_data.RelativeTargetName : "*ScheduledTasks.xml" and
    winlog.event_data.AccessList:"*%%4417*"
  )
)

框架: MITRE ATT&CK^TM

战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/
技术
- 名称: 域或租户策略修改
- ID: T1484
- 参考 URL: https://attack.mitre.org/techniques/T1484/
子技术
- 名称: 组策略修改
- ID: T1484.001
- 参考 URL: https://attack.mitre.org/techniques/T1484/001/
战术
- 名称: 横向移动
- ID: TA0008
- 参考 URL: https://attack.mitre.org/tactics/TA0008/
技术
- 名称: 横向工具传输
- ID: T1570
- 参考 URL: https://attack.mitre.org/techniques/T1570/

« 由 Windows 脚本创建的计划任务计划任务 AT 命令已启用 »