通过注册表修改禁用服务

编辑

识别使用 services.exe 以外的进程修改服务启动设置的尝试。攻击者可能会尝试修改安全和监控服务以避免被检测或延迟响应。

规则类型: eql

规则索引:

  • logs-endpoint.events.registry-*
  • endgame-*

严重性: 低

风险评分: 21

运行频率: 60 分钟

搜索索引时间范围: now-119m (Date Math 格式,另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

  • 域:端点
  • 操作系统:Windows
  • 用例:威胁检测
  • 战术:防御规避
  • 数据源:Elastic Endgame
  • 数据源:Elastic Defend
  • 规则类型:BBR

版本: 3

规则作者:

  • Elastic

规则许可: Elastic License v2

规则查询

编辑
registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\*\\Start",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\Start"
  ) and registry.data.strings : ("3", "4") and
  not
    (
      process.name : "services.exe" and user.id : "S-1-5-18"
    )
  and not registry.path : "HKLM\\SYSTEM\\ControlSet001\\Services\\MrxSmb10\\Start"

框架: MITRE ATT&CKTM