作者编写的潜在 PowerShell HackTool 脚本
编辑作者编写的潜在 PowerShell HackTool 脚本编辑
在 PowerShell 脚本中检测已知的 PowerShell 攻击性工具作者的名称。攻击者通常使用现成的攻击性工具，而不会修改代码，其中可能仍包含作者工件。此规则识别在用于红队演练的流行 PowerShell 脚本中发现的常见作者处理程序。
规则类型：查询
规则索引:
- winlogbeat-*
- logs-windows.powershell*
严重性：高
风险评分: 73
每隔：5m
从以下时间开始搜索索引：now-9m（日期数学格式，另请参阅 其他回溯时间）
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 策略：执行
- 数据源：PowerShell 日志
版本: 1
规则作者:
- Elastic
规则许可：Elastic 许可证 v2
设置编辑
设置
必须启用PowerShell 脚本块记录记录策略。使用高级审核配置实施记录策略的步骤
Computer Configuration > Administrative Templates > Windows PowerShell > Turn on PowerShell Script Block Logging (Enable)
通过注册表实施记录策略的步骤
reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1
规则查询编辑
host.os.type:windows and event.category:process and
powershell.file.script_block_text : (
"mattifestation" or "JosephBialek" or
"harmj0y" or "ukstufus" or
"SecureThisShit" or "Matthew Graeber" or
"secabstraction" or "mgeeky" or
"oddvarmoe" or "am0nsec" or
"obscuresec" or "sixdub" or
"darkoperator" or "funoverip" or
"rvrsh3ll" or "kevin_robertson" or
"dafthack" or "r4wd3r" or
"danielhbohannon" or "OneLogicalMyth" or
"cobbr_io" or "xorrior" or
"PetrMedonos" or "citronneur" or
"eladshamir" or "RastaMouse" or
"enigma0x3" or "FuzzySec" or
"424f424f" or "jaredhaight" or
"fullmetalcache" or "Hubbl3" or
"curi0usJack" or "Cx01N" or
"itm4n" or "nurfed1" or
"cfalta" or "Scott Sutherland" or
"_nullbind" or "_tmenochet" or
"Boe Prox" or "jaredcatkinson" or
"ChrisTruncer" or "monoxgas" or
"TheRealWover" or "splinter_code"
)
框架：MITRE ATT&CKTM
-
策略
- 名称：执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
-
技术
- 名称: 命令和脚本解释器
- ID: T1059
- 参考 URL: https://attack.mitre.org/techniques/T1059/
-
子技术
- 名称: PowerShell
- ID: T1059.001
- 参考 URL: https://attack.mitre.org/techniques/T1059/001/