› › ›

Windows 系统网络连接发现

编辑

Windows 系统网络连接发现

编辑

此规则识别可用于枚举网络连接的命令的执行。攻击者可能会尝试获取受感染系统到/从的网络连接列表，以识别环境中的目标。

规则类型: eql

规则索引:

logs-endpoint.events.process-*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
策略: 发现
规则类型: BBR
数据源: Elastic Defend

版本: 4

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where event.type == "start" and
(
  process.name : "netstat.exe" or
  (
   (
    (process.name : "net.exe" or process.pe.original_file_name == "net.exe") or
    (
     (process.name : "net1.exe" or process.pe.original_file_name == "net1.exe") and
     not process.parent.name : "net.exe"
    )
   ) and process.args : ("use", "user", "session", "config") and not process.args: ("/persistent:*", "/delete", "\\\\*")
  ) or
  (process.name : "nbtstat.exe" and process.args : "-s*")
) and not user.id : "S-1-5-18"

框架: MITRE ATT&CK^TM

策略
- 名称: 发现
- ID: TA0007
- 参考 URL: https://attack.mitre.org/tactics/TA0007/
技术
- 名称: 系统网络连接发现
- ID: T1049
- 参考 URL: https://attack.mitre.org/techniques/T1049/
技术
- 名称: 系统信息发现
- ID: T1082
- 参考 URL: https://attack.mitre.org/techniques/T1082/

« Windows 系统信息发现使用 Netsh 命令转储无线凭证 »