« 外部警报 将外部用户添加到 Google Workspace 群组 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预构建规则参考

从非浏览器进程查找外部 IP

编辑

从非浏览器进程查找外部 IP编辑

识别攻击者通常用于攻击后 IP 查找的域名。攻击者在获得对系统的访问权限后，通常会测试 Internet 访问并获取其外部 IP 地址。除其他外，在利用信息窃取程序 Trickbot 的活动中也观察到了这一点。

规则类型：eql

规则索引:

  • logs-endpoint.events.network-*

严重程度：低

风险评分: 21

运行频率：5 分钟

搜索以下时间段内的索引：now-9m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：侦察
  • 资源：调查指南
  • 数据源：Elastic Defend
  • 规则类型：BBR

版本: 108

规则作者:

  • Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查从非浏览器进程查找外部 IP

成功入侵环境后，攻击者可能会尝试获取态势感知以规划下一步行动。这可以通过运行命令来枚举网络资源、用户、连接、文件和已安装的安全软件来实现。

此规则通过非浏览器进程或未安装的程序查找与已知 IP 查找服务的连接。仅使用受感染系统的 IP 地址，攻击者就可以获取有价值的信息，例如系统的地理位置、拥有 IP 的公司、系统是否是云托管的，等等。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件的流行程度、它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
  • 确定执行操作的用户帐户以及该帐户是否应该执行此类操作。
  • 联系帐户所有者并确认他们是否知道此活动。
  • 调查过去 48 小时内与用户/主机相关的其他警报。
  • 调查在主题进程中观察到的异常行为，例如网络连接、注册表或文件修改，以及生成的任何子进程。

误报分析

  • 如果发现活动是孤立发生的，则它们本身并不一定是恶意的。只要分析师没有识别出与用户或主机相关的可疑活动，就可以忽略此类警报。
  • 如果此规则由于预期活动而在您的环境中产生过多噪音，请考虑添加例外情况 - 最好用用户和命令行条件的组合来添加。

响应和修复

  • 根据分类的结果启动事件响应流程。
  • 隔离受影响的主机以防止进一步的攻击后行为。
  • 使用通过分析收集的数据来调查环境中受影响的其他机器。
  • 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受感染的帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始入侵点，并采取措施防止通过同一入侵点再次感染。
  • 使用事件响应数据更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

network where host.os.type == "windows" and network.protocol == "dns" and
    process.name != null and user.id not in ("S-1-5-19", "S-1-5-20") and
    event.action == "lookup_requested" and
    /* Add new external IP lookup services here */
    dns.question.name :
    (
        "*api.ipify.org",
        "*freegeoip.app",
        "*checkip.amazonaws.com",
        "*checkip.dyndns.org",
        "*freegeoip.app",
        "*icanhazip.com",
        "*ifconfig.*",
        "*ipecho.net",
        "*ipgeoapi.com",
        "*ipinfo.io",
        "*ip.anysrc.net",
        "*myexternalip.com",
        "*myipaddress.com",
        "*showipaddress.com",
        "*whatismyipaddress.com",
        "*wtfismyip.com",
        "*ipapi.co",
        "*ip-lookup.net",
        "*ipstack.com"
    ) and
    /* Insert noisy false positives here */
    not
    (
      (
        process.executable : (
            "?:\\Program Files\\*.exe",
            "?:\\Program Files (x86)\\*.exe",
            "?:\\Windows\\Prey\\versions\\*\\bin\\node.exe",
            "?:\\Windows\\System32\\WWAHost.exe",
            "?:\\Windows\\System32\\smartscreen.exe",
            "?:\\Windows\\System32\\MicrosoftEdgeCP.exe",
            "?:\\ProgramData\\Microsoft\\Windows Defender\\Platform\\*\\MsMpEng.exe",
            "?:\\Users\\*\\AppData\\Local\\Google\\Chrome\\Application\\chrome.exe",
            "?:\\Users\\*\\AppData\\Local\\Programs\\Fiddler\\Fiddler.exe",
            "?:\\Users\\*\\AppData\\Local\\Programs\\Microsoft VS Code\\Code.exe",
            "?:\\Users\\*\\AppData\\Local\\Microsoft\\OneDrive\\OneDrive.exe"
        ) and process.code_signature.trusted == true
      ) or
      (
        (process.name : "Evernote.exe" and process.code_signature.subject_name : "Evernote Corporation" and process.code_signature.trusted == true) or
        (process.name : "firefox.exe" and process.code_signature.subject_name : "Mozilla Corporation" and process.code_signature.trusted == true) or
        (process.name : "Loom.exe" and process.code_signature.subject_name : "Loom, Inc." and process.code_signature.trusted == true) or
        (process.name : "opera.exe" and process.code_signature.subject_name : "Opera Norway AS" and process.code_signature.trusted == true) or
        (process.name : "brave.exe" and process.code_signature.subject_name : "Brave Software, Inc." and process.code_signature.trusted == true) or
        (process.name : "vivaldi.exe" and process.code_signature.subject_name : "Vivaldi Technologies AS" and process.code_signature.trusted == true)
      )
    )

框架：MITRE ATT&CKTM

« 外部警报 将外部用户添加到 Google Workspace 群组 »