通过流氓命名管道模拟特权升级

设置

需要通过包含以下设置在 Sysmon 配置中启用命名管道创建事件： condition equal "contains" and keyword equal "pipe"

如果在版本<8.2的非弹性代理索引（如 beats）上启用 EQL 规则，事件将不会定义event.ingested，并且 EQL 规则的默认后备未添加到版本 8.2 中。因此，为了让此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

file where host.os.type == "windows" and event.action : "Pipe Created*" and
 /* normal sysmon named pipe creation events truncate the pipe keyword */
  file.name : "\\*\\Pipe\\*"

框架: MITRE ATT&CK^TM