› › ›

管理员帐户枚举

编辑

管理员帐户枚举编辑

识别低权限帐户使用内置 Windows 工具枚举管理员帐户或组的实例。

规则类型：eql

规则索引:

logs-endpoint.events.process-*
winlogbeat-*
logs-windows.*
endgame-*
logs-system.security*

严重性：低

风险评分: 21

运行频率：5 分钟

搜索索引范围：now-9m（日期数学格式，另请参阅其他回溯时间）

每次执行的最大警报数: 100

参考：无

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：侦察
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend

版本: 112

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查管理员帐户枚举

在成功入侵环境后，攻击者可能会尝试获取态势感知以计划其后续步骤。这可以通过运行命令来枚举网络资源、用户、连接、文件和已安装的安全软件来实现。

此规则查找执行 net 和 wmic 实用程序以枚举域和本地机器范围内的管理员相关用户或组。攻击者可以使用此信息来计划其攻击的后续步骤，例如映射凭据泄露的目标和其他后利用活动。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查其可执行文件的流行程度、它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
识别执行该操作的用户帐户，以及该帐户是否应该执行此类操作。
调查过去 48 小时内与该用户/主机相关的其他警报。
调查任何异常的帐户行为，例如命令执行、文件创建或修改以及网络连接。

误报分析

如果发现活动是孤立发生的，则它们本身并不具有恶意性。只要分析师没有识别出与该用户或主机相关的可疑活动，就可以忽略此类警报。

相关规则

AdFind 命令活动 - eda499b8-a073-4e35-9733-22ec71f57f3a

响应和修复

根据分类结果启动事件响应流程。
隔离受影响的主机，以防止进一步的入侵后行为。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受损帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始攻击途径，并采取措施防止通过同一途径再次感染。
使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置编辑

设置

如果在非 Elastic Agent 索引（例如 Beats）上为版本 <8.2 启用 EQL 规则，则事件不会定义 event.ingested，并且在版本 8.2 之前没有添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and
(
  (
    (
      (process.name : "net.exe" or ?process.pe.original_file_name == "net.exe") or
      ((process.name : "net1.exe" or ?process.pe.original_file_name == "net1.exe") and not process.parent.name : "net.exe")
    ) and
    process.args : ("group", "user", "localgroup") and
    process.args : ("*admin*", "Domain Admins", "Remote Desktop Users", "Enterprise Admins", "Organization Management")
    and not process.args : ("/add", "/delete")
  ) or
  (
    (process.name : "wmic.exe" or ?process.pe.original_file_name == "wmic.exe") and
    process.args : ("group", "useraccount")
  )
) and not user.id : ("S-1-5-18", "S-1-5-19", "S-1-5-20")

框架：MITRE ATT&CK^TM

战术
- 名称：侦察
- ID：TA0007
- 参考 URL：https://attack.mitre.org/tactics/TA0007/
技术
- 名称：权限组发现
- ID：T1069
- 参考 URL：https://attack.mitre.org/techniques/T1069/
子技术
- 名称：本地组
- ID：T1069.001
- 参考 URL：https://attack.mitre.org/techniques/T1069/001/
子技术
- 名称：域组
- ID：T1069.002
- 参考 URL：https://attack.mitre.org/techniques/T1069/002/
技术
- 名称：帐户发现
- ID：T1087
- 参考 URL：https://attack.mitre.org/techniques/T1087/
子技术
- 名称：本地帐户
- ID：T1087.001
- 参考 URL：https://attack.mitre.org/techniques/T1087/001/
子技术
- 名称：域帐户
- ID：T1087.002
- 参考 URL：https://attack.mitre.org/techniques/T1087/002/

« 通过 WMIPrvSE 生成的枚举命令内核模块枚举 »