通过 SeBackupPrivilege 的可疑远程注册表访问

编辑

通过 SeBackupPrivilege 的可疑远程注册表访问

编辑

识别使用具有备份操作员组成员资格的帐户对注册表的远程访问。这可能表明尝试通过转储安全帐户管理器 (SAM) 注册表配置单元来窃取凭据，以准备进行凭据访问和权限提升。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中等

风险评分: 47

运行频率: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域: 终端
操作系统: Windows
用例: 威胁检测
战术: 横向移动
战术: 凭据访问
资源: 调查指南
用例: Active Directory 监控
数据源: Active Directory
数据源: 系统

版本: 211

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过 SeBackupPrivilege 的可疑远程注册表访问

SeBackupPrivilege 是一种允许检索文件内容的权限，旨在让用户创建系统的备份副本。由于不可能备份您无法读取的内容，因此此权限的代价是为用户提供对文件系统的完全读取访问权限。此权限必须绕过系统中放置的任何访问控制列表 (ACL)。

此规则识别使用具有备份操作员组成员资格的帐户对注册表的远程访问。这可能表明尝试通过转储安全帐户管理器 (SAM) 注册表配置单元来窃取凭据，以准备进行凭据访问和权限提升。

可能的调查步骤

识别执行操作的用户帐户，以及该帐户是否应该执行此类操作。
调查主体用户在登录会话中执行的活动。字段 winlog.event_data.SubjectLogonId 可用于获取此数据。
调查过去 48 小时内与用户/主机相关的其他警报。
联系帐户所有者并确认他们是否知道此活动。
调查主体用户观察到的异常行为，例如网络连接、注册表或文件修改以及创建的进程。
调查是否检索或窃取了注册表文件。

误报分析

如果此活动在您的环境中是预期且嘈杂的，则可以在必要时将良性真阳性 (B-TP) 添加为异常。

响应和补救

根据分类结果启动事件响应流程。
限制或禁用相关用户帐户，以防止进一步的妥协后行为。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
运行全面的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始向量，并采取行动以防止通过相同向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

需要在域控制器和敏感的 Windows 服务器上配置审计详细文件共享审计策略（成功）。使用高级审计配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
Object Access >
Audit Detailed File Share (Success)

必须配置特殊登录审计策略（成功）。使用高级审计配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
Logon/Logoff >
Special Logon (Success)

规则查询

编辑

sequence by winlog.computer_name, winlog.event_data.SubjectLogonId with maxspan=1m
 [iam where event.action == "logged-in-special"  and
  winlog.event_data.PrivilegeList : "SeBackupPrivilege" and

  /* excluding accounts with existing privileged access */
  not winlog.event_data.PrivilegeList : "SeDebugPrivilege"]
 [any where event.action == "Detailed File Share" and winlog.event_data.RelativeTargetName : "winreg"]

框架: MITRE ATT&CK^TM

战术
- 名称: 凭据访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
技术
- 名称: 操作系统凭据转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/
子技术
- 名称: 安全帐户管理器
- ID: T1003.002
- 参考 URL: https://attack.mitre.org/techniques/T1003/002/
子技术
- 名称: LSA 机密
- ID: T1003.004
- 参考 URL: https://attack.mitre.org/techniques/T1003/004/
战术
- 名称: 横向移动
- ID: TA0008
- 参考 URL: https://attack.mitre.org/tactics/TA0008/
技术
- 名称: 远程服务
- ID: T1021
- 参考 URL: https://attack.mitre.org/techniques/T1021/

« 可疑的 RDP ActiveX 客户端已加载可疑的 ESXI 文件重命名 »