› › ›

清除 Windows 控制台历史记录

编辑

清除 Windows 控制台历史记录

编辑

识别用户尝试清除控制台历史记录的行为。攻击者可能会清除被入侵帐户的命令历史记录，以隐藏入侵期间采取的操作。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
策略：执行
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：SentinelOne
数据源：Crowdstrike

版本: 313

规则作者:

Austin Songer

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查清除 Windows 控制台历史记录

PowerShell 是系统管理员用于自动化、报告例程和其他任务的主要工具之一。这使其可以在各种环境中使用，并为攻击者执行代码创建了一种有吸引力的方式。

攻击者可以通过清除 PowerShell 控制台历史记录来尝试掩盖其踪迹。PowerShell 有两种不同的方式记录命令：内置历史记录和由 PSReadLine 模块管理的命令历史记录。此规则查找可以清除内置 PowerShell 日志或删除 ConsoleHost_history.txt 文件的命令的执行。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查它们的可执行文件是否普遍存在，是否位于预期位置，以及是否使用有效的数字签名进行了签名。
确定执行操作的用户帐户以及它是否应该执行此类操作。
联系帐户所有者并确认他们是否知道此活动。
调查过去 48 小时内与用户/主机相关的其他告警。
验证是否观察到任何其他反取证行为。
调查 SIEM 上的 PowerShell 日志，以确定是否存在攻击者可能试图掩盖的可疑行为。

误报分析

此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

根据分类的结果启动事件响应过程。
隔离相关主机，以防止进一步的攻击后行为。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他潜在受损凭据的密码，例如电子邮件、业务系统和 Web 服务。
运行全面的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始向量，并采取行动以防止通过相同的向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
确保已启用 PowerShell 审计策略和日志收集，以便将来具有可见性。

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  (
    process.name : ("powershell.exe", "pwsh.exe", "powershell_ise.exe") or
    ?process.pe.original_file_name in ("powershell.exe", "pwsh.dll", "powershell_ise.exe")
  ) and
  (
    process.args : "*Clear-History*" or
    (process.args : ("*Remove-Item*", "rm") and process.args : ("*ConsoleHost_history.txt*", "*(Get-PSReadlineOption).HistorySavePath*")) or
    (process.args : "*Set-PSReadlineOption*" and process.args : "*SaveNothing*")
  )

框架: MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：指示器删除
- ID：T1070
- 参考 URL：https://attack.mitre.org/techniques/T1070/
子技术
- 名称：清除命令历史记录
- ID：T1070.003
- 参考 URL：https://attack.mitre.org/techniques/T1070/003/
策略
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考 URL：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考 URL：https://attack.mitre.org/techniques/T1059/001/

« Chkconfig 服务添加清除 Windows 事件日志 »