« LSASS 内存转储句柄访问 通过启动文件夹进行横向移动 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

通过 Windows API 访问 LSASS 进程

编辑

通过 Windows API 访问 LSASS 进程

编辑

识别对 LSASS 句柄的访问尝试，这可能表明试图从 LSASS 内存中转储凭据。

规则类型: eql

规则索引:

  • logs-endpoint.events.api-*
  • logs-m365_defender.event-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 战术：凭据访问
  • 战术：执行
  • 数据源：Elastic Defend
  • 数据源：Microsoft Defender for Endpoint

版本: 10

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过 Windows API 访问 LSASS 进程

本地安全机构子系统服务 (LSASS) 是一个关键的 Windows 组件，负责管理用户身份验证和安全策略。攻击者可能会尝试访问 LSASS 句柄以从其内存中转储凭据，这些凭据可用于横向移动和特权提升。

此规则通过监视针对“lsass.exe”进程的特定 API 调用（OpenProcess、OpenThread）来识别对 LSASS 的访问尝试。

注意：本调查指南使用 Elastic Stack 版本 8.5.0 中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在本指南中显示未呈现的 Markdown。

可能的调查步骤

  • 调查过去 48 小时内与用户/主机相关的其他警报。
  • 调查访问 LSASS 句柄的进程的进程执行链（父进程树）。
  • 检查它们的可执行文件是否普遍存在，它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
  • 确定进程可执行文件首次出现在环境中的时间，以及过去是否发生过此行为。
  • 验证该活动是否与计划的补丁、更新、网络管理员活动或合法的软件安装无关。
  • 调查主体进程的任何异常行为，例如网络连接、加载的 DLL、注册表或文件修改以及任何生成的子进程。
  • 评估进程请求的访问权限 (`process.Ext.api.parameters.desired_access` 字段)。此 Microsoft 文档 可能有助于解释。
  • 如果存在 LSASS 内存被成功转储的痕迹，请调查可能被入侵的帐户。分析师可以通过搜索目标主机的登录事件（例如 4624）来执行此操作。
  • 检查主机是否存在表明可疑活动的派生工件
  • 使用私有沙盒分析系统分析进程的可执行文件。
  • 在沙盒和警报主体主机中观察和收集有关以下活动的信息
  • 尝试联系外部域和地址。
  • 使用 Elastic Defend 网络事件，通过按进程的 process.entity_id 进行筛选，来确定主体进程联系的域和地址。
  • 检查 DNS 缓存是否存在可疑或异常的条目。
  • !{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
  • 使用 Elastic Defend 注册表事件来检查进程树中相关进程访问、修改或创建的注册表项。
  • 检查主机服务是否存在可疑或异常的条目。
  • !{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
  • !{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
  • !{osquery{"label":"Osquery - 检索带有 VirusTotal 链接的服务未签名可执行文件","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
  • 使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。

误报分析

  • 如果此规则在您的环境中由于预期活动而产生噪音，请考虑添加例外 — 最好结合使用 process.executable、process.code_signature.subject_name 和 process.Ext.api.parameters.desired_access_numeric 条件。

相关规则

  • 可疑的 Lsass 进程访问 - 128468bf-cab1-4637-99ea-fdf3780a4609
  • 通过 LSASS 中的 DuplicateHandle 潜在的凭据访问 - 02a4576a-7480-4284-9327-548a806b5e48
  • LSASS 内存转储句柄访问 - 208dbe77-01ed-4954-8d44-1e5751cb20de

响应和补救

  • 根据分类结果启动事件响应过程。
  • 如果确认是恶意活动，请执行更广泛的调查，以确定入侵范围并确定适当的补救步骤。
  • 隔离受影响的主机，以防止进一步的入侵后行为。
  • 如果分类确定为恶意软件，请在环境中搜索其他被入侵的主机。
  • 实施临时的网络规则、程序和分段，以控制恶意软件。
  • 停止可疑进程。
  • 立即阻止识别的入侵指标 (IoC)。
  • 检查受影响的系统中是否存在其他恶意软件后门，例如反向 Shell、反向代理或投放器，攻击者可以使用它们重新感染系统。
  • 删除并阻止在分类期间识别的恶意工件。
  • 调查被攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有被入侵的帐户。重置这些帐户和其他可能被泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
  • 重新映像主机操作系统或将受损文件恢复为干净版本。
  • 确定攻击者滥用的初始向量，并采取措施防止通过相同的向量重新感染。
  • 使用事件响应数据，更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
api where host.os.type == "windows" and
  process.Ext.api.name in ("OpenProcess", "OpenThread") and Target.process.name : "lsass.exe" and
  not
  (
    process.executable : (
        "?:\\ProgramData\\GetSupportService*\\Updates\\Update_*.exe",
        "?:\\ProgramData\\Microsoft\\Windows Defender\\Platform\\*\\MsMpEng.exe",
        "?:\\Program Files (x86)\\Asiainfo Security\\OfficeScan Client\\NTRTScan.exe",
        "?:\\Program Files (x86)\\Blackpoint\\SnapAgent\\SnapAgent.exe",
        "?:\\Program Files (x86)\\CheckPoint\\Endpoint Security\\EFR\\EFRService.exe",
        "?:\\Program Files (x86)\\CyberCNSAgent\\osqueryi.exe",
        "?:\\Program Files (x86)\\cisco\\cisco anyconnect secure mobility client\\vpnagent.exe",
        "?:\\Program Files (x86)\\cisco\\cisco anyconnect secure mobility client\\aciseagent.exe",
        "?:\\Program Files (x86)\\cisco\\cisco anyconnect secure mobility client\\vpndownloader.exe",
        "?:\\Program Files (x86)\\eScan\\reload.exe",
        "?:\\Program Files (x86)\\Google\\Update\\GoogleUpdate.exe",
        "?:\\Program Files (x86)\\Kaspersky Lab\\*\\avp.exe",
        "?:\\Program Files (x86)\\microsoft intune management extension\\microsoft.management.services.intunewindowsagent.exe",
        "?:\\Program Files (x86)\\N-able Technologies\\Reactive\\bin\\NableReactiveManagement.exe",
        "?:\\Program Files (x86)\\N-able Technologies\\Windows Agent\\bin\\agent.exe",
        "?:\\Program Files (x86)\\Tanium\\Tanium Client\\TaniumClient.exe",
        "?:\\Program Files (x86)\\Trend Micro\\*\\CCSF\\TmCCSF.exe",
        "?:\\Program Files (x86)\\Trend Micro\\Security Agent\\TMASutility.exe",
        "?:\\Program Files*\\Windows Defender\\MsMpEng.exe",
        "?:\\Program Files\\Bitdefender\\Endpoint Security\\EPSecurityService.exe",
        "?:\\Program Files\\Cisco\\AMP\\*\\sfc.exe",
        "?:\\Program Files\\Common Files\\McAfee\\AVSolution\\mcshield.exe",
        "?:\\Program Files\\EA\\AC\\EAAntiCheat.GameService.exe",
        "?:\\Program Files\\Elastic\\Agent\\data\\elastic-agent-*\\components\\agentbeat.exe",
        "?:\\Program Files\\Elastic\\Agent\\data\\elastic-agent-*\\components\\metricbeat.exe",
        "?:\\Program Files\\Elastic\\Agent\\data\\elastic-agent-*\\components\\osqueryd.exe",
        "?:\\Program Files\\Elastic\\Agent\\data\\elastic-agent-*\\components\\packetbeat.exe",
        "?:\\Program Files\\ESET\\ESET Security\\ekrn.exe",
        "?:\\Program Files\\Fortinet\\FortiClient\\FortiProxy.exe",
        "?:\\Program Files\\Fortinet\\FortiClient\\FortiSSLVPNdaemon.exe",
        "?:\\Program Files\\Goverlan Inc\\GoverlanAgent\\GovAgentx64.exe",
        "?:\\Program Files\\Huntress\\HuntressAgent.exe",
        "?:\\Program Files\\LogicMonitor\\Agent\\bin\\sbshutdown.exe",
        "?:\\Program Files\\Malwarebytes\\Anti-Malware\\MBAMService.exe",
        "?:\\Program Files\\Microsoft Monitoring Agent\\Agent\\Health Service State\\*\\pmfexe.exe",
        "?:\\Program Files\\Microsoft Security Client\\MsMpEng.exe",
        "?:\\Program Files\\Qualys\\QualysAgent\\QualysAgent.exe",
        "?:\\Program Files\\smart-x\\controlupagent\\version*\\cuagent.exe",
        "?:\\Program Files\\TDAgent\\ossec-agent\\ossec-agent.exe",
        "?:\\Program Files\\Topaz OFD\\Warsaw\\core.exe",
        "?:\\Program Files\\Trend Micro\\Deep Security Agent\\netagent\\tm_netagent.exe",
        "?:\\Program Files\\VMware\\VMware Tools\\vmtoolsd.exe",
        "?:\\Program Files\\Windows Defender Advanced Threat Protection\\MsSense.exe",
        "?:\\Program Files\\Wise\\Wise Memory Optimizer\\WiseMemoryOptimzer.exe",
        "?:\\Windows\\AdminArsenal\\PDQDeployRunner\\*\\exec\\Sysmon64.exe",
        "?:\\Windows\\Sysmon.exe",
        "?:\\Windows\\Sysmon64.exe",
        "?:\\Windows\\System32\\csrss.exe",
        "?:\\Windows\\System32\\MRT.exe",
        "?:\\Windows\\System32\\msiexec.exe",
        "?:\\Windows\\System32\\taskhostw.exe",
        "?:\\Windows\\System32\\RtkAudUService64.exe",
        "?:\\Windows\\System32\\wbem\\WmiPrvSE.exe",
        "?:\\Windows\\SysWOW64\\wbem\\WmiPrvSE.exe",
        "?:\\Windows\\tenable_mw_scan_142a90001fb65e0beb1751cc8c63edd0.exe"
    ) and not ?process.code_signature.trusted == false
  )

框架: MITRE ATT&CKTM

« LSASS 内存转储句柄访问 通过启动文件夹进行横向移动 »