› › ›

添加到组策略对象的启动/登录脚本

编辑

添加到组策略对象的启动/登录脚本

编辑

检测组策略对象 (GPO) 的修改，以向用户或计算机对象添加启动/登录脚本。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重程度: 中

风险评分: 47

运行频率: 5m

搜索索引起始于: 无 (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：特权提升
数据源：Active Directory
资源：调查指南
用例：Active Directory 监控
数据源：系统

版本: 211

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查添加到组策略对象的启动/登录脚本

攻击者可以使用组策略对象 (GPO) 指示任意庞大的客户端组在启动、登录、关闭和注销时执行指定的命令。这通过创建或修改 scripts.ini 或 psscripts.ini 文件来完成。脚本存储在以下路径中：- <GPOPath>\Machine\Scripts\ - <GPOPath>\User\Scripts\

可能的调查步骤

此攻击滥用 Active Directory 的合法机制，因此确定活动是否合法以及管理员是否有权执行此操作非常重要。
检索 ScheduledTasks.xml 文件的内容，并检查 <Command> 和 <Arguments> XML 标记中是否存在任何潜在的恶意命令或二进制文件。
调查过去 48 小时内与用户/主机相关的其他告警。
通过检索有关 GPO 控制哪些对象的信息来确定可能被入侵的对象范围。

误报分析

验证执行是否经过合法授权并在变更管理流程下执行。

相关规则

用于添加特权的组策略滥用 - b9554892-5e0e-424b-83a0-5aef95aa43bf
通过 GPO 进行大规模计划任务执行 - 15a8ba77-1c13-4274-88fe-6bd14133861e

响应和补救

根据分类的结果启动事件响应流程。
必须在 GPO 控制的每台计算机中执行必要的调查和遏制。
从 GPO 中删除脚本。
检查其他 GPO 是否附加了可疑脚本。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高检测平均时间 (MTTD) 和响应平均时间 (MTTR)。

设置

编辑

设置

必须配置审核详细文件共享审核策略（成功失败）。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
Object Access >
Audit Detailed File Share (Success,Failure)

必须配置审核目录服务更改审核策略（成功失败）。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success,Failure)

规则查询

编辑

any where host.os.type == "windows" and event.code in ("5136", "5145") and
(
  (
    winlog.event_data.AttributeLDAPDisplayName : (
      "gPCMachineExtensionNames",
      "gPCUserExtensionNames"
    ) and
    winlog.event_data.AttributeValue : "*42B5FAAE-6536-11D2-AE5A-0000F87571E3*" and
    winlog.event_data.AttributeValue : (
      "*40B66650-4972-11D1-A7CA-0000F87571E3*",
      "*40B6664F-4972-11D1-A7CA-0000F87571E3*"
    )
  ) or
  (
    winlog.event_data.ShareName : "\\\\*\\SYSVOL" and
    winlog.event_data.RelativeTargetName : ("*\\scripts.ini", "*\\psscripts.ini") and
    winlog.event_data.AccessList:"*%%4417*"
  )
)

框架: MITRE ATT&CK^TM

战术
- 名称：特权提升
- ID：TA0004
- 参考 URL：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：域或租户策略修改
- ID：T1484
- 参考 URL：https://attack.mitre.org/techniques/T1484/
子技术
- 名称：组策略修改
- ID：T1484.001
- 参考 URL：https://attack.mitre.org/techniques/T1484/001/
技术
- 名称：启动或登录自动启动执行
- ID：T1547
- 参考 URL：https://attack.mitre.org/techniques/T1547/

« 启动或运行键注册表修改检测到统计模型 C2 信标活动 »