通过 SeBackupPrivilege 进行可疑远程注册表访问
编辑通过 SeBackupPrivilege 进行可疑远程注册表访问编辑
识别使用具有备份操作员组成员身份的帐户远程访问注册表。这可能表明有人试图通过转储安全帐户管理器 (SAM) 注册表配置单元来窃取凭据，以便访问凭据和提升权限。
规则类型: eql
规则索引:
- winlogbeat-*
- logs-system.*
- logs-windows.*
严重性: 中等
风险评分: 47
每隔: 5 分钟
从以下时间开始搜索索引: now-9m（日期数学格式，另请参见 附加回溯时间）
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 策略：横向移动
- 策略：凭据访问
- 资源：调查指南
- 用例：Active Directory 监控
- 数据源：Active Directory
版本: 110
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南编辑
分类和分析
调查通过 SeBackupPrivilege 进行的可疑远程注册表访问
SeBackupPrivilege 是一种允许检索文件内容的特权，旨在使用户能够创建系统的备份副本。由于无法备份您无法读取的内容，因此此特权是以向用户提供对文件系统的完全读取访问权限为代价的。此特权必须绕过系统中放置的任何访问控制列表 (ACL)。
此规则标识使用具有备份操作员组成员资格的帐户远程访问注册表。这可能表明尝试通过转储安全帐户管理器 (SAM) 注册表单元来窃取凭据，以便访问凭据和提升特权。
可能的调查步骤
- 识别执行操作的用户帐户以及它是否应该执行此类操作。
- 调查主题用户在登录会话中执行的活动。字段
winlog.event_data.SubjectLogonId可用于获取此数据。 - 调查过去 48 小时内与用户/主机关联的其他警报。
- 联系帐户所有者并确认他们是否知道此活动。
- 调查主题用户观察到的异常行为，例如网络连接、注册表或文件修改以及创建的进程。
- 调查是否已检索或窃取注册表文件。
误报分析
- 如果此活动在您的环境中是预期的并且很嘈杂，则可以根据需要将良性误报 (B-TP) 添加为例外。
响应和补救
- 根据分类的结果启动事件响应流程。
- 限制或禁用涉及的用户帐户，以防止进一步的妥协后行为。
- 调查攻击者妥协或使用的系统上的凭据泄露，以确保识别所有受损帐户。重置这些帐户和其他可能受损凭据的密码，例如电子邮件、业务系统和 Web 服务。
- 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他伪像、持久性机制和恶意软件组件。
- 确定攻击者滥用的初始向量，并采取措施防止通过同一向量重新感染。
- 使用事件响应数据，更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置编辑
设置
需要在域控制器和敏感 Windows 服务器上配置审计详细文件共享审计策略（成功）。使用高级审计配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > Object Access > Audit Detailed File Share (Success)
必须配置特殊登录审核策略（成功）。使用高级审核配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > Logon/Logoff > Special Logon (Success)
规则查询编辑
sequence by winlog.computer_name, winlog.event_data.SubjectLogonId with maxspan=1m [iam where event.action == "logged-in-special" and winlog.event_data.PrivilegeList : "SeBackupPrivilege" and /* excluding accounts with existing privileged access */ not winlog.event_data.PrivilegeList : "SeDebugPrivilege"] [any where event.action == "Detailed File Share" and winlog.event_data.RelativeTargetName : "winreg"]
框架：MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考网址：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：操作系统凭据转储
- ID：T1003
- 参考网址：https://attack.mitre.org/techniques/T1003/
-
子技术
- 名称：安全帐户管理器
- ID：T1003.002
- 参考网址：https://attack.mitre.org/techniques/T1003/002/
-
子技术
- 名称：LSA 机密
- ID：T1003.004
- 参考网址：https://attack.mitre.org/techniques/T1003/004/
-
策略
- 名称：横向移动
- ID：TA0008
- 参考网址：https://attack.mitre.org/tactics/TA0008/
-
技术
- 名称：远程服务
- ID：T1021
- 参考网址：https://attack.mitre.org/techniques/T1021/