DNS 全局查询阻止列表已修改或禁用

识别对 DNS 全局查询阻止列表 (GQBL) 的更改，GQBL 是一项安全功能，可防止解析某些 DNS 名称，这些名称通常在 WPAD 欺骗等攻击中被利用。拥有某些权限（例如 DNSAdmins）的攻击者可以修改或禁用 GQBL，从而允许利用运行 WPAD 的主机，这些主机具有用于权限提升和横向移动的默认设置。

规则类型: eql

规则索引:

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从: now-9m（日期数学格式，另请参见 附加回溯时间）开始搜索索引

每次执行的最大警报数: 100

参考:

标签:

版本: 1

规则作者:

规则许可证: Elastic 许可证 v2

registry where host.os.type == "windows" and event.type : "change" and
(
  (registry.value : "EnableGlobalQueryBlockList" and registry.data.strings : ("0", "0x00000000")) or
  (registry.value : "GlobalQueryBlockList" and not registry.data.strings : "wpad")
)