« 通过具有 RWX 内存区域的二进制文件进行网络连接 通过已编译 HTML 文件进行网络连接 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

通过 Certutil 进行网络连接

编辑

通过 Certutil 进行网络连接编辑

识别进行网络连接的 certutil.exe。攻击者可能滥用 certutil.exe 从远程 URL 下载证书或恶意软件。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.network-*
  • logs-windows.sysmon_operational-*
  • endgame-*

严重性: 低

风险评分: 21

每隔: 5m

从以下时间开始搜索索引: now-9m (日期数学格式，另请参见 附加回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：命令和控制
  • 资源：调查指南
  • 数据源：Elastic Defend
  • 数据源：Sysmon
  • 数据源：Elastic Endgame

版本: 112

规则作者:

  • Elastic

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

通过 Certutil 调查网络连接

攻击者可以滥用 certutil.exe 从外部源下载恶意软件、攻击性安全工具和证书，以便在受损环境中采取后续步骤。

此规则查找 certutil.exe 联系 IANA IPv4 专用地址注册表 中未指定的 IP 范围的网络事件

注意：此调查指南使用 Elastic Stack 版本 8.5.0 中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。此调查指南使用 Elastic Stack 版本 8.8.0 中引入的 调查 Markdown 插件。较旧的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件是否普遍存在，是否位于预期位置，以及是否由有效的数字签名签名。
  • 调查过去 48 小时内与用户/主机关联的其他警报。
  • !{investigate{"label":"过去 48 小时内与用户关联的警报","providers":[[{"excluded":false,"field":"event.kind","queryType":"phrase","value":"signal","valueType":"string"},{"excluded":false,"field":"user.id","queryType":"phrase","value":"{{user.id}}","valueType":"string"}]],"relativeFrom":"now-48h/h","relativeTo":"now"}}
  • !{investigate{"label":"过去 48 小时内与主机关联的警报","providers":[[{"excluded":false,"field":"event.kind","queryType":"phrase","value":"signal","valueType":"string"},{"excluded":false,"field":"host.name","queryType":"phrase","value":"{{host.name}}","valueType":"string"}]],"relativeFrom":"now-48h/h","relativeTo":"now"}}
  • 调查下载的文件是否已执行。
  • 确定运行 certutil.exe 和文件时的上下文。
  • 检查主机是否存在表明可疑活动的派生工件
  • 使用私有沙盒分析系统分析下载的文件。
  • 观察并收集有关沙盒和警报主题主机中以下活动的的信息
  • 尝试联系外部域名和地址。
  • 使用 Elastic Defend 网络事件，通过按进程的 process.entity_id 过滤，确定受试进程联系的域名和地址。
  • !{investigate{"label":"调查受试进程网络事件","providers":[[{"excluded":false,"field":"process.entity_id","queryType":"phrase","value":"{{process.entity_id}}","valueType":"string"},{"excluded":false,"field":"event.category","queryType":"phrase","value":"network","valueType":"string"}]]}}
  • 检查 DNS 缓存中是否有可疑或异常的条目。
  • !{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
  • 使用 Elastic Defend 注册表事件，检查进程树中相关进程访问、修改或创建的注册表项。
  • 检查主机服务中是否有可疑或异常的条目。
  • !{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
  • !{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
  • !{osquery{"label":"Osquery - 检索具有 Virustotal 链接的未签名可执行服务","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
  • 使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和声誉。

误报分析

  • 这种机制可以合法使用。如果受信任的软件使用此命令，并且分类没有发现任何可疑之处，则可以将此警报关闭为误报。
  • 如果此规则由于预期活动而在您的环境中很嘈杂，请考虑添加例外 - 最好结合用户和命令行条件。

响应和补救

  • 根据分类结果启动事件响应流程。
  • 隔离涉及的主机，以防止进一步的入侵后行为。
  • 如果分类识别出恶意软件，请在环境中搜索其他受损主机。
  • 实施临时网络规则、程序和分段以遏制恶意软件。
  • 停止可疑进程。
  • 立即阻止已识别的入侵指标 (IoC)。
  • 检查受影响的系统，查找攻击者可能用来重新感染系统的其他恶意软件后门，如反向 shell、反向代理或 dropper。
  • 删除和阻止分类期间识别的恶意工件。
  • 运行一次完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始媒介，并采取措施防止通过同一媒介重新感染。
  • 使用事件响应数据，更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

network where host.os.type == "windows" and process.name : "certutil.exe" and
  not cidrmatch(destination.ip, "10.0.0.0/8", "127.0.0.0/8", "169.254.0.0/16", "172.16.0.0/12", "192.0.0.0/24",
                                "192.0.0.0/29", "192.0.0.8/32", "192.0.0.9/32", "192.0.0.10/32", "192.0.0.170/32",
                                "192.0.0.171/32", "192.0.2.0/24", "192.31.196.0/24", "192.52.193.0/24",
                                "192.168.0.0/16", "192.88.99.0/24", "224.0.0.0/4", "100.64.0.0/10", "192.175.48.0/24",
                                "198.18.0.0/15", "198.51.100.0/24", "203.0.113.0/24", "240.0.0.0/4", "::1",
                                "FE80::/10", "FF00::/8") and
  not dns.question.name in ("localhost", "*.digicert.com", "ctldl.windowsupdate.com")

框架：MITRE ATT&CKTM

« 通过具有 RWX 内存区域的二进制文件进行网络连接 通过已编译 HTML 文件进行网络连接 »