访问敏感 LDAP 属性
编辑访问敏感 LDAP 属性
编辑识别对包含凭证和解密密钥的敏感 Active Directory 对象属性的访问，例如 unixUserPassword、ms-PKI-AccountCredentials 和 msPKI-CredentialRoamingTokens。
规则类型: eql
规则索引:
- winlogbeat-*
- logs-system.*
- logs-windows.*
严重性: 中
风险评分: 47
运行频率: 5分钟
搜索索引起始时间: now-9m (日期数学格式, 另请参阅 额外的回溯时间)
每次执行的最大告警数量: 100
参考资料:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 策略：凭证访问
- 策略：权限提升
- 用例：Active Directory 监控
- 数据源：Active Directory
- 数据源：系统
版本: 112
规则作者:
- Elastic
规则许可证: Elastic License v2
设置
编辑设置
必须将审核目录服务访问日志记录策略配置为（成功，失败）。使用高级审核配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > DS Access > Audit Directory Service Access (Success,Failure)
规则查询
编辑any where event.action in ("Directory Service Access", "object-operation-performed") and event.code == "4662" and
not winlog.event_data.SubjectUserSid : "S-1-5-18" and
winlog.event_data.Properties : (
/* unixUserPassword */
"*612cb747-c0e8-4f92-9221-fdd5f15b550d*",
/* ms-PKI-AccountCredentials */
"*b8dfa744-31dc-4ef1-ac7c-84baf7ef9da7*",
/* ms-PKI-DPAPIMasterKeys */
"*b3f93023-9239-4f7c-b99c-6745d87adbc2*",
/* msPKI-CredentialRoamingTokens */
"*b7ff5a38-0818-42b0-8110-d3d154c97f24*"
) and
/*
Excluding noisy AccessMasks
0x0 undefined and 0x100 Control Access
https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4662
*/
not winlog.event_data.AccessMask in ("0x0", "0x100")
框架: MITRE ATT&CKTM
-
策略
- 名称: 凭证访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称: 操作系统凭证转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/
-
技术
- 名称: 不安全的凭证
- ID: T1552
- 参考 URL: https://attack.mitre.org/techniques/T1552/
-
子技术
- 名称: 私钥
- ID: T1552.004
- 参考 URL: https://attack.mitre.org/techniques/T1552/004/
-
策略
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
-
技术
- 名称: 有效账户
- ID: T1078
- 参考 URL: https://attack.mitre.org/techniques/T1078/
-
子技术
- 名称: 域账户
- ID: T1078.002
- 参考 URL: https://attack.mitre.org/techniques/T1078/002/