« 首次发现滥用远程访问工具执行 首次发现第三方应用程序的 Google Workspace OAuth 登录 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

首次发现加载的驱动程序

编辑

首次发现加载的驱动程序编辑

识别在过去 30 天内首次观察到的原始文件名和签名值的驱动程序加载。此规则类型可以帮助在您的环境中建立基线驱动程序安装。

规则类型: new_terms

规则索引:

  • logs-endpoint.events.library-*

严重性: 中等

风险评分: 47

每隔运行: 5m

从以下时间开始搜索索引: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：权限提升
  • 策略：持久性
  • 资源：调查指南
  • 数据源：Elastic Defend

版本: 8

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南编辑

分类和分析

调查首次发现加载的驱动程序

驱动程序是一种允许操作系统与硬件设备通信的软件组件。它在高权限级别（内核级别）工作，对系统的安全性和稳定性具有很高的控制权。

攻击者可能会利用已知的良好但易受攻击的驱动程序在其上下文中执行代码，因为一旦攻击者可以在内核中执行代码，安全工具就无法再有效地保护主机。他们可以利用这些驱动程序篡改、绕过和终止安全软件、提升权限、创建持久性机制以及禁用操作系统保护和监控功能。在采取勒索软件等目标行动之前，人们在野外目睹了攻击者执行这些操作。

阅读 Elastic Security Labs 完成的“阻止易受攻击的驱动程序攻击”的完整研究，在此处。

此规则标识了在过去 30 天内首次观察到的具有原始文件名和签名值的驱动程序的加载。此规则类型可以帮助基准化您的环境中的驱动程序安装。

注意：此调查指南使用 Elastic Stack 版本 8.5.0 中引入的 Osquery Markdown 插件。较早的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。

可能的调查步骤

  • 检查已加载的驱动程序以识别潜在的可疑特征。以下操作可以帮助您获得上下文
  • 识别驱动程序加载的路径。如果使用 Elastic Defend，则可以在 dll.path 字段中找到此信息。
  • 检查驱动程序的数字签名，并检查它是否有效。
  • 检查文件的创建和修改时间戳
  • 在 Elastic Defend 中，可以在 dll.Ext.relative_file_creation_time 和 "dll.Ext.relative_file_name_modify_time" 字段中找到这些字段，其值为秒。
  • 搜索与 dll.name 字段同名的文件创建事件，并识别对操作负责的进程。
  • 调查受试进程的任何其他异常行为，例如网络连接、注册表或文件修改以及任何衍生的子进程。
  • 使用驱动程序 SHA-256 (dll.hash.sha256 字段) 哈希值在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索是否存在以及声誉。
  • 调查过去 48 小时内与用户/主机关联的其他警报。
  • 通过查找跨主机的类似事件来评估这种行为在环境中是否普遍存在。
  • 使用 Osquery 调查加载到系统中的驱动程序。
  • !{osquery{"label":"Osquery - 检索所有带有 Virustotal 链接的非 Microsoft 驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE NOT (provider == \"Microsoft\" AND signed == \"1\")\n"}}
  • !{osquery{"label":"Osquery - 检索所有带有 Virustotal 链接的未签名驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE signed == \"0\"\n"}}
  • 识别驱动程序的 设备名称 和 服务名称。
  • 检查 相关规则 部分中指定的规则发出的警报。

误报分析

  • 从这些规则派生的匹配项本质上并非恶意。安全团队应调查它们以确保它们是合法的且必需的，然后仅在需要时将它们包含在允许列表中。安全团队应解决任何易受攻击的驱动程序安装，因为它会使用户和域面临风险。

相关规则

  • 加载不受信任的驱动程序 - d8ab1ec1-feeb-48b9-89e7-c12e189448aa
  • 通过注册表修改代码签名策略 - da7733b1-fe08-487e-b536-0a04c6d8b0cd
  • 通过内置工具修改代码签名策略 - b43570de-a908-4f7f-8bdb-b2df6ffd8c80

响应和补救

  • 根据分类的结果启动事件响应流程。
  • 隔离涉及的主机以防止进一步的入侵后行为。
  • 禁用并卸载系统中发现的所有可疑驱动程序。这可以通过设备管理器完成。（请注意，此步骤可能要求您将系统启动到安全模式）
  • 删除系统中发现的相关服务和注册表项。请注意，如果驱动程序仍已安装，则该服务可能不会停止。
  • 这可以通过 PowerShell Remove-Service cmdlet 完成。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 如果分类识别出恶意软件，请搜索环境中其他受损主机。
  • 实施临时网络规则、程序和分段以包含恶意软件。
  • 停止可疑进程。
  • 立即阻止已识别的入侵指标 (IoC)。
  • 检查受影响系统是否存在其他恶意软件后门，如反向 shell、反向代理或攻击者可用来重新感染系统的投放器。
  • 删除和阻止分类期间识别的恶意工件。
  • 确保在系统上启用了驱动程序签名强制执行。
  • 调查攻击者用于入侵或使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他可能受损的凭据的密码，例如电子邮件、业务系统和网络服务。
  • 确定攻击者滥用的初始媒介，并采取措施防止通过同一媒介重新感染。
  • 使用事件响应数据更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

event.category:"driver" and host.os.type:windows and event.action:"load"

框架：MITRE ATT&CKTM

« 首次发现滥用远程访问工具执行 首次发现第三方应用程序的 Google Workspace OAuth 登录 »