› › ›

读取多个 Vault Web 凭据

编辑

读取多个 Vault Web 凭据编辑

Windows 凭据管理器允许您创建、查看或删除用于登录网站、已连接应用程序和网络的已保存凭据。攻击者可能会滥用此功能来列出或转储凭据管理器中存储的已保存用户名和密码。这也可以在准备横向移动时执行。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

从以下时间开始搜索索引: now-9m（日期数学格式，另请参阅 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：凭据访问

版本: 10

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

设置编辑

设置

如果对版本 <8.2 的非弹性代理索引（例如 beats）启用 EQL 规则，事件将不会定义 event.ingested，并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

sequence by winlog.computer_name, winlog.process.pid with maxspan=1s

 /* 2 consecutive vault reads from same pid for web creds */

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

 [any where event.code : "5382" and
  (winlog.event_data.SchemaFriendlyName : "Windows Web Password Credential" and winlog.event_data.Resource : "http*") and
  not winlog.event_data.SubjectLogonId : "0x3e7" and
  not winlog.event_data.Resource : "https://127.0.0.1/"]

框架: MITRE ATT&CK^TM

策略
- 名称：凭证访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
技术
- 名称：操作系统凭证转储
- ID：T1003
- 参考 URL：https://attack.mitre.org/techniques/T1003/
技术
- 名称：来自密码存储的凭证
- ID：T1555
- 参考 URL：https://attack.mitre.org/techniques/T1555/
子技术
- 名称：Windows 凭证管理器
- ID：T1555.004
- 参考 URL：https://attack.mitre.org/techniques/T1555/004/