Windows 系统信息发现

编辑

Windows 系统信息发现

编辑

检测用于发现系统信息的命令的执行，攻击者可能会在入侵系统后使用这些命令来了解情况。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.*
endgame-*
logs-system.security*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 发现
规则类型: BBR
数据源: Elastic Defend
数据源: Elastic Endgame
数据源: 系统

版本: 108

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
(
  (
    process.name : "cmd.exe" and process.args : "ver*" and not
    process.parent.executable : (
        "?:\\Users\\*\\AppData\\Local\\Keybase\\upd.exe",
        "?:\\Users\\*\\python*.exe"
    )
  ) or
  process.name : ("systeminfo.exe", "hostname.exe") or
  (process.name : "wmic.exe" and process.args : "os" and process.args : "get")
) and not
process.parent.executable : (
    "?:\\Program Files\\*",
    "?:\\Program Files (x86)\\*",
    "?:\\ProgramData\\*"
) and not user.id : "S-1-5-18"

框架: MITRE ATT&CK^TM

战术
- 名称: 发现
- ID: TA0007
- 参考 URL: https://attack.mitre.org/tactics/TA0007/
技术
- 名称: 系统信息发现
- ID: T1082
- 参考 URL: https://attack.mitre.org/techniques/T1082/

« 通过 Dism 实用程序启用 Windows Linux 子系统 Windows 系统网络连接发现 »