› › ›

来自挂载设备的可疑执行

编辑

来自挂载设备的可疑执行编辑

识别通过非标准工作目录启动脚本解释器或签名二进制文件的情况。攻击者可能使用此技术来规避防御措施。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

从以下时间开始搜索索引: now-9m (日期数学格式，另请参见 附加回溯时间)

每次执行的最大警报数: 100

参考文献:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
策略：执行
数据源：Elastic Defend
数据源：Sysmon

版本: 108

规则作者:

Elastic

规则许可证: Elastic License v2

设置编辑

设置

如果在版本 <8.2 的非 elastic-agent 索引（例如 beats）上启用 EQL 规则，则事件将不会定义 event.ingested，并且直到版本 8.2 才添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加一个自定义摄取管道来填充 event.ingested 至 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and process.executable : "C:\\*" and
  (process.working_directory : "?:\\" and not process.working_directory: "C:\\") and
  process.parent.name : "explorer.exe" and
  process.name : ("rundll32.exe", "mshta.exe", "powershell.exe", "pwsh.exe", "cmd.exe", "regsvr32.exe",
                  "cscript.exe", "wscript.exe")

框架：MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：系统二进制代理执行
- ID：T1218
- 参考 URL：https://attack.mitre.org/techniques/T1218/
子技术
- 名称：Mshta
- ID：T1218.005
- 参考 URL：https://attack.mitre.org/techniques/T1218/005/
子技术
- 名称：Regsvr32
- ID：T1218.010
- 参考 URL：https://attack.mitre.org/techniques/T1218/010/
子技术
- 名称：Rundll32
- ID：T1218.011
- 参考 URL：https://attack.mitre.org/techniques/T1218/011/
策略
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考 URL：https://attack.mitre.org/techniques/T1059/
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考 URL：https://attack.mitre.org/techniques/T1059/001/
子技术
- 名称：Windows 命令 Shell
- ID：T1059.003
- 参考 URL：https://attack.mitre.org/techniques/T1059/003/

« 来自 INET 缓存的可疑执行通过 MSIEXEC 的可疑执行 »