Netsh 辅助 DLL

识别 Netsh 辅助 DLL 的添加，netsh.exe 支持添加这些 DLL 以扩展其功能。攻击者可能会滥用此机制，在每次执行该实用程序时执行恶意负载，这可以通过管理员或计划任务来完成。

规则类型：eql

规则索引:

严重程度：低

风险评分: 21

运行频率：5 分钟

搜索的索引范围：now-9m（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考：无

标签:

版本: 2

规则作者:

规则许可证：Elastic 许可证 v2

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\Software\\Microsoft\\netsh\\*",
    "\\REGISTRY\\MACHINE\\Software\\Microsoft\\netsh\\*"
  )