« 访问 Outlook 数据文件 通过 SYSTEM 帐户发现帐户命令 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预构建规则参考

配置了永不过期密码的帐户

编辑

配置了永不过期密码的帐户编辑

检测创建和修改启用了“密码永不过期”选项的帐户。攻击者可以滥用此错误配置在域中持久化，并使用具有此属性的受感染帐户维护长期访问权限。

规则类型：查询

规则索引:

  • winlogbeat-*
  • logs-system.*
  • logs-windows.*

严重性：中等

风险评分: 47

运行频率：5 分钟

搜索的索引时间范围：now-9m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：终端
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：持久化
  • 数据来源：Active Directory
  • 资源：调查指南
  • 用例：Active Directory 监控

版本: 108

规则作者:

  • Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查配置了永不过期密码的帐户

Active Directory 提供了一个防止用户密码过期的设置。启用此设置是一种糟糕的做法，可能会使环境容易受到削弱安全状况的漏洞的攻击，尤其是在这些帐户是特权帐户的情况下。

通常配置此设置是为了让用户帐户充当服务帐户。攻击者可以滥用这些帐户在域中持久化，并使用设置了永不过期密码的受感染帐户维护长期访问权限。

可能的调查步骤

  • 识别执行该操作的用户帐户，以及该帐户是否应执行此类操作。
  • 联系帐户所有者，确认他们是否知晓此活动。
  • 调查在过去 48 小时内与用户/源主机相关的其他警报。
  • 检查警报时间范围内帐户是否存在可疑或异常行为。

误报分析

  • 此活动不应合法发生。安全团队应解决任何潜在的良性真阳性 (B-TP)，因为此配置可能会使用户和域处于风险之中。
  • 将用户帐户用作服务帐户是一种糟糕的安全做法，不应在域中允许。安全团队应映射和监控潜在的良性真阳性 (B-TP)，尤其是在帐户是特权帐户的情况下。对于无法避免用户帐户的情况，Microsoft 提供了组托管服务帐户 (gMSA) 功能，该功能可确保帐户密码安全可靠，并定期自动更改。

响应和修复

  • 根据分类结果启动事件响应流程。
  • 查看分配给用户的权限，以确保遵循最小权限原则。
  • 重置帐户的密码并更新其密码设置。
  • 在域中搜索其他事件。
  • 使用Active Directory PowerShell 模块
  • get-aduser -filter { passwordNeverExpires -eq $true -and enabled -eq $true } | ft
  • 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受感染的帐户。重置这些帐户和其他可能泄露的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
  • 使用事件响应数据更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

event.action:"modified-user-account" and winlog.api:"wineventlog" and event.code:"4738" and
  message:"'Don't Expire Password' - Enabled" and not user.id:"S-1-5-18"

框架：MITRE ATT&CKTM

« 访问 Outlook 数据文件 通过 SYSTEM 帐户发现帐户命令 »