› › ›

服务路径修改

编辑

服务路径修改

编辑

识别通过异常进程修改服务路径的尝试。攻击者可能会尝试修改现有服务以实现持久化或特权提升。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
endgame-*
logs-windows.sysmon_operational-*
winlogbeat-*

严重性: 低

风险评分: 21

运行频率: 60分钟

搜索索引起始时间: now-119m ( 日期数学格式，另请参见 额外回溯时间 )

每次执行的最大警报数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 防御规避
数据源: Elastic Endgame
数据源: Elastic Defend
规则类型: BBR
数据源: Sysmon

版本: 105

规则作者:

Elastic

规则许可: Elastic License v2

规则查询

编辑

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath"
  ) and not (
    process.executable : (
      "?:\\Program Files\\*.exe",
      "?:\\Program Files (x86)\\*.exe",
      "?:\\Windows\\System32\\services.exe",
      "?:\\Windows\\WinSxS\\*"
    )
  )

框架: MITRE ATT&CK^TM

战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 修改注册表
- ID: T1112
- 参考 URL: https://attack.mitre.org/techniques/T1112/
战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 创建或修改系统进程
- ID: T1543
- 参考 URL: https://attack.mitre.org/techniques/T1543/
子技术
- 名称: Windows 服务
- ID: T1543.003
- 参考 URL: https://attack.mitre.org/techniques/T1543/003/
战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 创建或修改系统进程
- ID: T1543
- 参考 URL: https://attack.mitre.org/techniques/T1543/
子技术
- 名称: Windows 服务
- ID: T1543.003
- 参考 URL: https://attack.mitre.org/techniques/T1543/003/

« 通过注册表修改禁用服务通过 sc.exe 修改服务路径 »