通过 VaultCmd 搜索已保存凭据

编辑

Windows 凭据管理器允许您创建、查看或删除用于登录网站、已连接应用程序和网络的已保存凭据。攻击者可能会滥用此功能来列出或转储凭据管理器中存储的用户名和密码。 这也可能是在横向移动的准备阶段执行。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.forwarded*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-system.security*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*
  • logs-crowdstrike.fdr*

严重性: 中

风险评分: 47

运行频率: 5分钟

搜索索引时间范围: now-9m (日期数学格式,另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域:端点
  • 操作系统:Windows
  • 用例:威胁检测
  • 策略:凭据访问
  • 数据源:Elastic Endgame
  • 数据源:Elastic Defend
  • 数据源:系统
  • 数据源:Microsoft Defender for Endpoint
  • 数据源:Sysmon
  • 数据源:SentinelOne
  • 数据源:Crowdstrike

版本: 312

规则作者:

  • Elastic

规则许可: Elastic License v2

规则查询

编辑
process where host.os.type == "windows" and event.type == "start" and
  (?process.pe.original_file_name:"vaultcmd.exe" or process.name:"vaultcmd.exe") and
  process.args:"/list*"

框架: MITRE ATT&CKTM