› › ›

来自已挂载设备的可疑执行

编辑

来自已挂载设备的可疑执行

编辑

当脚本解释器或签名二进制文件通过非标准工作目录启动时，会发出警报。攻击者可能会使用此技术来逃避防御。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (Date Math 格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
策略: 防御规避
策略: 执行
数据源: Elastic Defend
数据源: Sysmon

版本: 208

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，且版本低于 8.2，则事件将不定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充为 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and process.executable : "C:\\*" and
  (process.working_directory : "?:\\" and not process.working_directory: "C:\\") and
  process.parent.name : "explorer.exe" and
  process.name : ("rundll32.exe", "mshta.exe", "powershell.exe", "pwsh.exe", "cmd.exe", "regsvr32.exe",
                  "cscript.exe", "wscript.exe")

框架: MITRE ATT&CK^TM

策略
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 系统二进制代理执行
- ID: T1218
- 参考 URL: https://attack.mitre.org/techniques/T1218/
子技术
- 名称: Mshta
- ID: T1218.005
- 参考 URL: https://attack.mitre.org/techniques/T1218/005/
子技术
- 名称: Regsvr32
- ID: T1218.010
- 参考 URL: https://attack.mitre.org/techniques/T1218/010/
子技术
- 名称: Rundll32
- ID: T1218.011
- 参考 URL: https://attack.mitre.org/techniques/T1218/011/
策略
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 命令和脚本解释器
- ID: T1059
- 参考 URL: https://attack.mitre.org/techniques/T1059/
子技术
- 名称: PowerShell
- ID: T1059.001
- 参考 URL: https://attack.mitre.org/techniques/T1059/001/
子技术
- 名称: Windows 命令 Shell
- ID: T1059.003
- 参考 URL: https://attack.mitre.org/techniques/T1059/003/

« 来自 INET 缓存的可疑执行通过 MSIEXEC 的可疑执行 »