› › ›

通过 Linux 的 Windows 子系统执行

编辑

通过 Linux 的 Windows 子系统执行编辑

检测从 Linux 的 Windows 子系统在主机上执行程序的尝试。攻击者可能会启用并使用 WSL for Linux 来避免检测。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.*
endgame-*
logs-system.security*

严重性: 中等

风险评分: 47

每隔运行: 5 分钟

从以下时间开始搜索索引: now-9m (日期数学格式，另请参见 附加回溯时间)

每次执行的最大警报数: 100

参考:

https://learn.microsoft.com/en-us/windows/wsl/wsl-config

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
数据源：Elastic Endgame
数据源：Elastic Defend

版本: 6

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询编辑

process where host.os.type == "windows" and event.type : "start" and
  process.parent.name : ("wsl.exe", "wslhost.exe") and
  not process.executable : (
        "?:\\Program Files (x86)\\*",
        "?:\\Program Files\\*",
        "?:\\Program Files*\\WindowsApps\\MicrosoftCorporationII.WindowsSubsystemForLinux_*\\wsl*.exe",
        "?:\\Windows\\System32\\conhost.exe",
        "?:\\Windows\\System32\\lxss\\wslhost.exe",
        "?:\\Windows\\System32\\WerFault.exe",
        "?:\\Windows\\Sys*\\wslconfig.exe"
  )

框架: MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：间接命令执行
- ID：T1202
- 参考网址：https://attack.mitre.org/techniques/T1202/

« 通过 TSClient 挂载点执行通过本地 SxS 共享模块执行 »