› › ›

SSH 授权密钥文件修改

编辑

SSH 授权密钥文件修改

编辑

安全外壳 (SSH) 的 authorized_keys 文件指定哪些用户可以使用公钥身份验证登录到服务器。攻击者可能会修改它，通过添加他们自己的公钥来在受害主机上保持持久性。

规则类型: new_terms

规则索引:

auditbeat-*
logs-endpoint.events.*

严重程度: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

域: 端点
操作系统: Linux
操作系统: macOS
用例: 威胁检测
策略: 横向移动
策略: 持久性
数据源: Elastic Defend

版本: 206

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

event.category:file and event.type:(change or creation) and
 file.name:("authorized_keys" or "authorized_keys2" or "/etc/ssh/sshd_config" or "/root/.ssh") and
 not process.executable:
             (/Library/Developer/CommandLineTools/usr/bin/git or
              /usr/local/Cellar/maven/*/libexec/bin/mvn or
              /Library/Java/JavaVirtualMachines/jdk*.jdk/Contents/Home/bin/java or
              /usr/bin/vim or
              /usr/local/Cellar/coreutils/*/bin/gcat or
              /usr/bin/bsdtar or
              /usr/bin/nautilus or
              /usr/bin/scp or
              /usr/bin/touch or
              /var/lib/docker/* or
              /usr/bin/google_guest_agent or
              /opt/jc/bin/jumpcloud-agent or
              /opt/puppetlabs/puppet/bin/puppet or
              /usr/bin/chef-client
)

框架: MITRE ATT&CK^TM

策略
- 名称: 持久性
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 账户操控
- ID: T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
子技术
- 名称: SSH 授权密钥
- ID: T1098.004
- 参考 URL: https://attack.mitre.org/techniques/T1098/004/
策略
- 名称: 横向移动
- ID: TA0008
- 参考 URL: https://attack.mitre.org/tactics/TA0008/
技术
- 名称: 远程服务
- ID: T1021
- 参考 URL: https://attack.mitre.org/techniques/T1021/
子技术
- 名称: SSH
- ID: T1021.004
- 参考 URL: https://attack.mitre.org/techniques/T1021/004/
技术
- 名称: 远程服务会话劫持
- ID: T1563
- 参考 URL: https://attack.mitre.org/techniques/T1563/
子技术
- 名称: SSH 劫持
- ID: T1563.001
- 参考 URL: https://attack.mitre.org/techniques/T1563/001/

« 端口 26/TCP 上的 SMTP 容器内 SSH 授权密钥文件修改 »