› › ›

SSH 授权密钥文件修改

编辑

SSH 授权密钥文件修改编辑

安全外壳 (SSH) authorized_keys 文件指定了哪些用户可以使用公钥认证登录服务器。攻击者可能会通过添加他们自己的公钥来修改它，以便在受害者主机上保持持久性。

规则类型: new_terms

规则索引:

auditbeat-*
logs-endpoint.events.*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从以下时间开始搜索索引: now-9m（日期数学格式，另请参见 其他回溯时间）

每次执行的最大警报数: 100

参考: 无

标签:

域：端点
操作系统：Linux
操作系统：macOS
用例：威胁检测
策略：横向移动
策略：持久性
数据源：Elastic Defend

版本: 206

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

规则查询编辑

event.category:file and event.type:(change or creation) and
 file.name:("authorized_keys" or "authorized_keys2" or "/etc/ssh/sshd_config" or "/root/.ssh") and
 not process.executable:
             (/Library/Developer/CommandLineTools/usr/bin/git or
              /usr/local/Cellar/maven/*/libexec/bin/mvn or
              /Library/Java/JavaVirtualMachines/jdk*.jdk/Contents/Home/bin/java or
              /usr/bin/vim or
              /usr/local/Cellar/coreutils/*/bin/gcat or
              /usr/bin/bsdtar or
              /usr/bin/nautilus or
              /usr/bin/scp or
              /usr/bin/touch or
              /var/lib/docker/* or
              /usr/bin/google_guest_agent or
              /opt/jc/bin/jumpcloud-agent or
              /opt/puppetlabs/puppet/bin/puppet or
              /usr/bin/chef-client
)

框架: MITRE ATT&CK^TM

策略
- 名称：持久性
- ID: TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：帐户操作
- ID：T1098
- 参考 URL：https://attack.mitre.org/techniques/T1098/
子技术
- 名称：SSH 授权密钥
- ID：T1098.004
- 参考 URL：https://attack.mitre.org/techniques/T1098/004/
策略
- 名称：横向移动
- ID：TA0008
- 参考 URL：https://attack.mitre.org/tactics/TA0008/
技术
- 名称：远程服务
- ID：T1021
- 参考 URL：https://attack.mitre.org/techniques/T1021/
子技术
- 名称：SSH
- ID：T1021.004
- 参考 URL：https://attack.mitre.org/techniques/T1021/004/
技术
- 名称：远程服务会话劫持
- ID：T1563
- 参考 URL：https://attack.mitre.org/techniques/T1563/
子技术
- 名称：SSH 劫持
- ID：T1563.001
- 参考 URL：https://attack.mitre.org/techniques/T1563/001/

« 端口 26/TCP 上的 SMTP 容器内修改的 SSH 授权密钥文件 »