凭据转储 - 检测到 - Elastic Endgame
编辑凭据转储 - 检测到 - Elastic Endgame
编辑Elastic Endgame 检测到凭据转储。点击 event.module 列中的 Elastic Endgame 图标或 rule.reference 列中的链接以获取更多信息。
规则类型: 查询
规则索引:
- endgame-*
严重程度: 高
风险评分: 73
运行频率: 10 分钟
搜索索引起始于: now-15m (日期数学格式，另请参阅 附加回溯时间)
每次执行的最大警报数: 10000
参考: 无
标签:
- 数据源：Elastic Endgame
- 用例：威胁检测
- 战术：凭据访问
版本: 103
规则作者:
- Elastic
规则许可: Elastic License v2
设置
编辑设置
此规则配置为生成比所有规则默认设置的每次运行 1000 个警报更多的每次运行的最大警报数。这是为了确保它捕获尽可能多的警报。
重要：规则的每次运行的最大警报数设置可以被 xpack.alerting.rules.run.alerts.max Kibana 配置设置覆盖，该设置确定 Kibana 警报框架中任何规则生成的最大警报数。例如，如果 xpack.alerting.rules.run.alerts.max 设置为 1000，则即使此规则自身的 每次运行的最大警报数设置得更高，它仍然只会生成不超过 1000 个警报。
为确保此规则可以根据其自身的 每次运行的最大警报数设置生成尽可能多的警报，请相应地增加 xpack.alerting.rules.run.alerts.max 系统设置。
注意：在无服务器项目中无法更改 xpack.alerting.rules.run.alerts.max。
规则查询
编辑event.kind:alert and event.module:endgame and endgame.metadata.type:detection and (event.action:cred_theft_event or endgame.event_subtype_full:cred_theft_event)
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：操作系统凭据转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/
-
子技术
- 名称：LSASS 内存
- ID: T1003.001
- 参考 URL: https://attack.mitre.org/techniques/T1003/001/