通过 VaultCmd 搜索已保存的凭据
编辑通过 VaultCmd 搜索已保存的凭据编辑
Windows 凭据管理器允许您创建、查看或删除用于登录网站、连接的应用程序和网络的已保存凭据。攻击者可能会滥用此功能来列出或转储凭据管理器中存储的已保存用户名和密码。这还可能在准备横向移动时执行。
规则类型: eql
规则索引:
- winlogbeat-*
- logs-endpoint.events.process-*
- logs-windows.*
- endgame-*
- logs-system.security*
严重性: 中等
风险评分: 47
每隔: 5m
从以下时间开始搜索索引: now-9m (日期数学格式,另请参见 附加回溯时间
)
每次执行的最大警报数: 100
参考:
标签:
- 域:端点
- 操作系统:Windows
- 用例:威胁检测
- 策略:凭据访问
- 数据源:Elastic Endgame
- 数据源:Elastic Defend
版本: 109
规则作者:
- Elastic
规则许可证: Elastic 许可证 v2
设置编辑
设置
如果在版本 <8.2 的非 elastic-agent 索引(例如 beats)上启用 EQL 规则,则事件不会定义 event.ingested
,并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此,为了让此规则有效运行,用户需要添加一个自定义摄取管道来填充 event.ingested
至 @timestamp。有关添加自定义摄取管道的更多详细信息,请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html
规则查询编辑
process where host.os.type == "windows" and event.type == "start" and (?process.pe.original_file_name:"vaultcmd.exe" or process.name:"vaultcmd.exe") and process.args:"/list*"
框架: MITRE ATT&CKTM
-
策略
- 名称:凭证访问
- ID:TA0006
- 参考网址:https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称:操作系统凭证转储
- ID:T1003
- 参考网址:https://attack.mitre.org/techniques/T1003/
-
技术
- 名称:密码存储中的凭证
- ID:T1555
- 参考网址:https://attack.mitre.org/techniques/T1555/
-
子技术
- 名称:Windows 凭证管理器
- ID:T1555.004
- 参考网址:https://attack.mitre.org/techniques/T1555/004/