创建指向卷影副本的符号链接
编辑创建指向卷影副本的符号链接
编辑识别指向卷影副本的符号链接的创建。符号链接可用于访问卷影副本中的文件，包括敏感文件，例如 ntds.dit、系统启动密钥和浏览器离线凭据。
规则类型: eql
规则索引:
- winlogbeat-*
- logs-endpoint.events.process-*
- logs-windows.forwarded*
- logs-windows.sysmon_operational-*
- endgame-*
- logs-system.security*
- logs-m365_defender.event-*
- logs-sentinel_one_cloud_funnel.*
- logs-crowdstrike.fdr*
严重性: 中
风险评分: 47
每: 5 分钟运行
搜索索引从: 现在 -9 分钟（日期数学格式，另请参阅 额外回溯时间）
每次执行的最大警报数: 100
参考:
- https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/mklink
- https://2017.zeronights.org/wp-content/uploads/materials/ZN17_Kheirkhabarov_Hunting_for_Credentials_Dumping_in_Windows_Environment.pdf
- https://blog.netwrix.com/2021/11/30/extracting-password-hashes-from-the-ntds-dit-file/
- https://www.hackingarticles.in/credential-dumping-ntds-dit/
标签:
- 域: 端点
- 操作系统: Windows
- 用例: 威胁检测
- 策略: 凭据访问
- 资源: 调查指南
- 数据源: Elastic Endgame
- 数据源: Elastic Defend
- 数据源: 系统
- 数据源: Microsoft Defender for Endpoint
- 数据源: Sysmon
- 数据源: SentinelOne
- 数据源: Crowdstrike
版本: 313
规则作者:
- Elastic
- Austin Songer
规则许可证: Elastic License v2
调查指南
编辑初步分析和分析
调查创建指向卷影副本的符号链接
卷影副本是在使用时对端点文件或卷的备份或快照。攻击者可能会尝试发现并创建指向这些卷影副本的符号链接，以便离线复制敏感信息。如果正在使用 Active Directory (AD)，则通常 ntds.dit 文件是目标，因为它包含密码哈希值，但是需要脱机副本才能提取这些哈希值并可能进行横向移动。
可能的调查步骤
- 确定执行该操作的用户帐户以及它是否应执行此类操作。
- 调查未知进程的进程执行链（父进程树）。检查其可执行文件的普及程度，它们是否位于预期位置以及是否使用有效的数字签名进行签名。
- 调查过去 48 小时内与用户/主机相关的其他警报。
- 确定是否最近在此端点上创建了卷影副本。
- 检查最终用户的特权，因为这需要管理访问权限。
- 验证是否已成功复制 ntds.dit 文件，并确定其复制目标。
- 调查最近通过 Reg.exe 制作或保存的注册表 SYSTEM 文件副本。
- 调查最近删除的卷影副本。
- 识别可能直接从卷影副本路径复制的其他文件。
误报分析
- 此规则应产生很少的误报。如果需要，可以将良性真阳性 (B-TP) 添加为例外。
相关规则
- NTDS 或 SAM 数据库文件已复制 - 3bc6deaa-fbd4-433a-ae21-3e892f95624f
响应和补救
- 根据初步分析的结果启动事件响应流程。
- 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他可能受损凭据的密码，例如电子邮件、业务系统和 Web 服务。
- 如果整个域或
krbtgt用户受到威胁 - 激活针对整个 Active Directory 入侵的事件响应计划，该计划应包括但不限于对
krbtgt用户的密码重置（两次）。 - 找到并删除从卷影副本复制的静态文件。
- 默认情况下，命令行工具 mklink 应要求管理员权限，除非处于开发者模式。
- 运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他构件、持久性机制和恶意软件组件。
- 确定攻击者滥用的初始向量，并采取行动以防止通过相同向量再次感染。
- 使用事件响应数据，更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑设置
确保已启用 Windows 的高级审核策略，特别是：对象访问策略 事件 ID 4656（已请求对象的句柄）
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > System Audit Policies > Object Access > Audit File System (Success,Failure) Audit Handle Manipulation (Success,Failure)
仅当通过新进程衍生 cmd.exe 或 powershell.exe 并使用正确的参数创建符号链接时，此事件才会触发。直接访问 shell 并调用符号链接创建工具将不会生成与此规则匹配的事件。
规则查询
编辑process where host.os.type == "windows" and event.type == "start" and
(
(?process.pe.original_file_name in ("Cmd.Exe","PowerShell.EXE")) or
(process.name : ("cmd.exe", "powershell.exe"))
) and
/* Create Symbolic Link to Shadow Copies */
process.args : ("*mklink*", "*SymbolicLink*") and process.command_line : ("*HarddiskVolumeShadowCopy*")
框架: MITRE ATT&CKTM
-
策略
- 名称: 凭据访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称: 操作系统凭据转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/
-
子技术
- 名称: 安全帐户管理器
- ID: T1003.002
- 参考 URL: https://attack.mitre.org/techniques/T1003/002/
-
子技术
- 名称: NTDS
- ID: T1003.003
- 参考 URL: https://attack.mitre.org/techniques/T1003/003/