› › ›

创建了计划任务

编辑

创建了计划任务编辑

指示使用 Windows 事件日志创建计划任务。攻击者可以使用这些任务来建立持久性，横向移动，或提升权限。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重程度: 低

风险评分: 21

每隔: 5m

搜索索引时间: now-9m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考资料:

https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4698

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 持久性

版本: 8

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

规则查询编辑

iam where event.action == "scheduled-task-created" and

 /* excluding tasks created by the computer account */
 not user.name : "*$" and

 /* TaskContent is not parsed, exclude by full taskname noisy ones */
 not winlog.event_data.TaskName : (
              "\\CreateExplorerShellUnelevatedTask",
              "\\Hewlett-Packard\\HPDeviceCheck",
              "\\Hewlett-Packard\\HP Support Assistant\\WarrantyChecker",
              "\\Hewlett-Packard\\HP Support Assistant\\WarrantyChecker_backup",
              "\\Hewlett-Packard\\HP Web Products Detection",
              "\\Microsoft\\VisualStudio\\Updates\\BackgroundDownload",
              "\\OneDrive Standalone Update Task-S-1-5-21*",
              "\\OneDrive Standalone Update Task-S-1-12-1-*"
 )

框架: MITRE ATT&CK^TM

战术
- 名称: 持久性
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/

« 预建规则参考更新了计划任务 »