通过 VaultCmd 搜索已保存的凭据编辑

Windows 凭据管理器允许您创建、查看或删除用于登录网站、连接的应用程序和网络的已保存凭据。攻击者可能会滥用此功能来列出或转储凭据管理器中存储的已保存用户名和密码。这还可能在准备横向移动时执行。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.*
  • endgame-*
  • logs-system.security*

严重性: 中等

风险评分: 47

每隔: 5m

从以下时间开始搜索索引: now-9m (日期数学格式,另请参见 附加回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域:端点
  • 操作系统:Windows
  • 用例:威胁检测
  • 策略:凭据访问
  • 数据源:Elastic Endgame
  • 数据源:Elastic Defend

版本: 109

规则作者:

  • Elastic

规则许可证: Elastic 许可证 v2

设置编辑

设置

如果在版本 <8.2 的非 elastic-agent 索引(例如 beats)上启用 EQL 规则,则事件不会定义 event.ingested,并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此,为了让此规则有效运行,用户需要添加一个自定义摄取管道来填充 event.ingested 至 @timestamp。有关添加自定义摄取管道的更多详细信息,请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and
  (?process.pe.original_file_name:"vaultcmd.exe" or process.name:"vaultcmd.exe") and
  process.args:"/list*"

框架: MITRE ATT&CKTM