进程注入 - 已阻止 - Elastic Endgame
编辑进程注入 - 已阻止 - Elastic Endgame编辑
Elastic Endgame 阻止了进程注入。单击事件.module 列中的 Elastic Endgame 图标或 rule.reference 列中的链接以获取更多信息。
规则类型：查询
规则索引:
- endgame-*
严重性：中等
风险评分: 47
每隔：10 分钟运行一次
从以下时间开始搜索索引：now-15m（日期数学格式，另请参见 其他回溯时间）
每次执行的最大警报数: 10000
参考：无
标签:
- 数据源：Elastic Endgame
- 用例：威胁检测
- 策略：权限提升
版本: 103
规则作者:
- Elastic
规则许可证：Elastic License v2
设置编辑
设置
此规则配置为生成比所有规则设置的每运行 1000 个警报的默认值更多的每运行最大警报数。这是为了确保它捕获尽可能多的警报。
重要提示：规则的每运行最大警报数设置可被xpack.alerting.rules.run.alerts.max Kibana 配置设置替代，该设置确定 Kibana 警报框架中任何规则生成的最大警报数。例如，如果xpack.alerting.rules.run.alerts.max设置为 1000，则即使其自己的每运行最大警报数设置得更高，此规则仍将生成不超过 1000 个警报。
要确保此规则可以生成与其自己的每运行最大警报数设置中配置的一样多的警报，请相应地增加xpack.alerting.rules.run.alerts.max系统设置。
注意：在无服务器项目中无法更改xpack.alerting.rules.run.alerts.max。
规则查询编辑
event.kind:alert and event.module:endgame and endgame.metadata.type:prevention and (event.action:kernel_shellcode_event or endgame.event_subtype_full:kernel_shellcode_event)
框架：MITRE ATT&CKTM
-
策略
- 名称：权限提升
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
-
技术
- 名称：进程注入
- ID：T1055
- 参考网址：https://attack.mitre.org/techniques/T1055/