› › ›

潜在的远程桌面影子活动

编辑

潜在的远程桌面影子活动

编辑

识别远程桌面协议（RDP）影子注册表的修改或指示活动 RDP 影子会话的进程执行。攻击者可能会滥用 RDP 影子功能来监视或控制其他用户活动的 RDP 会话。

规则类型: eql

规则索引:

logs-endpoint.events.process-*
logs-endpoint.events.registry-*
winlogbeat-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参见 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 横向移动
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: Sysmon
数据源: Microsoft Defender for Endpoint
数据源: SentinelOne

版本: 309

规则作者:

Elastic

规则许可: Elastic License v2

规则查询

编辑

/* Identifies the modification of RDP Shadow registry or
  the execution of processes indicative of active shadow RDP session */

any where host.os.type == "windows" and
(
  (event.category == "registry" and
     registry.path : (
      "HKLM\\Software\\Policies\\Microsoft\\Windows NT\\Terminal Services\\Shadow",
      "\\REGISTRY\\MACHINE\\Software\\Policies\\Microsoft\\Windows NT\\Terminal Services\\Shadow",
      "MACHINE\\Software\\Policies\\Microsoft\\Windows NT\\Terminal Services\\Shadow"
    )
  ) or
  (event.category == "process" and event.type == "start" and
     (process.name : ("RdpSaUacHelper.exe", "RdpSaProxy.exe") and process.parent.name : "svchost.exe") or
     (?process.pe.original_file_name : "mstsc.exe" and process.args : "/shadow:*")
  )
)

框架: MITRE ATT&CK^TM

战术
- 名称: 横向移动
- ID: TA0008
- 参考 URL: https://attack.mitre.org/tactics/TA0008/
技术
- 名称: 远程服务
- ID: T1021
- 参考 URL: https://attack.mitre.org/techniques/T1021/
子技术
- 名称: 远程桌面协议
- ID: T1021.001
- 参考 URL: https://attack.mitre.org/techniques/T1021/001/

« 通过注册表进行的潜在远程凭据访问检测到潜在的远程桌面隧道 »