« 通过 Microsoft Office 加载项实现持久性 通过 PowerShell 配置文件实现持久性 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

通过 Microsoft Outlook VBA 实现持久性

编辑

通过 Microsoft Outlook VBA 实现持久性编辑

检测通过安装恶意 Microsoft Outlook VBA 模板在端点上建立持久性的尝试。

规则类型: eql

规则索引:

  • logs-endpoint.events.file-*
  • winlogbeat-*
  • logs-windows.sysmon_operational-*
  • endgame-*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

从以下时间开始搜索索引: now-9m（日期数学格式，另请参阅 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：持久性
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend
  • 数据源：Sysmon

版本: 107

规则作者:

  • Elastic

规则许可证: Elastic License v2

设置编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，对于版本 <8.2，事件将不会定义 event.ingested，并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加一个自定义摄取管道来填充 event.ingested 到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

file where host.os.type == "windows" and event.type != "deletion" and
 file.path : "C:\\Users\\*\\AppData\\Roaming\\Microsoft\\Outlook\\VbaProject.OTM"

框架：MITRE ATT&CKTM

« 通过 Microsoft Office 加载项实现持久性 通过 PowerShell 配置文件实现持久性 »