Elastic 代理服务终止
编辑Elastic 代理服务终止编辑
识别 Elastic 端点代理已停止，并且不再在主机上运行。攻击者可能会尝试禁用安全监控工具，以试图在入侵期间逃避检测或防御功能。这也可能表明代理本身存在问题，应该予以解决，以确保防御措施恢复到稳定状态。
规则类型: eql
规则索引:
- logs-endpoint.events.*
严重程度: 中
风险评分: 47
运行频率: 5 分钟
搜索索引的时间范围: now-9m （日期数学格式，另请参阅 额外回溯时间）
每次执行的最大警报数: 100
参考: 无
标签:
- 域: 端点
- 操作系统: Linux
- 操作系统: Windows
- 操作系统: macOS
- 用例: 威胁检测
- 战术: 防御规避
- 数据源: Elastic Defend
版本: 106
规则作者:
- Elastic
规则许可证: Elastic 许可证 v2
设置编辑
设置
如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则（版本 <8.2），则事件不会定义 event.ingested，并且在 8.2 版本之前没有添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html
规则查询编辑
process where
/* net, sc or wmic stopping or deleting Elastic Agent on Windows */
(event.type == "start" and
process.name : ("net.exe", "sc.exe", "wmic.exe","powershell.exe","taskkill.exe","PsKill.exe","ProcessHacker.exe") and
process.args : ("stopservice","uninstall", "stop", "disabled","Stop-Process","terminate","suspend") and
process.args : ("elasticendpoint", "Elastic Agent","elastic-agent","elastic-endpoint"))
or
/* service or systemctl used to stop Elastic Agent on Linux */
(event.type == "end" and
(process.name : ("systemctl", "service") and
process.args : "elastic-agent" and
process.args : "stop")
or
/* pkill , killall used to stop Elastic Agent on Linux */
( event.type == "end" and process.name : ("pkill", "killall") and process.args: "elastic-agent")
or
/* Unload Elastic Agent extension on MacOS */
(process.name : "kextunload" and
process.args : "com.apple.iokit.EndpointSecurity" and
event.action : "end"))
框架: MITRE ATT&CKTM
-
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
-
技术
- 名称: 削弱防御
- ID: T1562
- 参考 URL: https://attack.mitre.org/techniques/T1562/
-
子技术
- 名称: 禁用或修改工具
- ID: T1562.001
- 参考 URL: https://attack.mitre.org/techniques/T1562/001/