« Svchost 生成 Cmd 系统二进制文件移动或复制 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预置规则参考

创建指向影子副本的符号链接

编辑

创建指向影子副本的符号链接编辑

识别创建指向影子副本的符号链接。符号链接可用于访问影子副本中的文件，包括敏感文件，例如 ntds.dit、系统启动密钥和浏览器脱机凭据。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.*
  • endgame-*
  • logs-system.security*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从以下时间开始搜索索引: now-9m（日期数学格式，另请参见 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：凭据访问
  • 资源：调查指南
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend

版本: 111

规则作者:

  • Elastic
  • Austin Songer

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查创建指向影子副本的符号链接

卷影副本是在端点文件或卷正在使用时创建的备份或快照。攻击者可能会尝试发现这些卷影副本并创建指向它们的符号链接，以便脱机复制敏感信息。如果正在使用 Active Directory (AD)，那么 ntds.dit 文件通常是目标，因为它包含密码哈希，但需要脱机副本才能提取这些哈希并可能进行横向移动。

可能的调查步骤

  • 识别执行该操作的用户帐户，以及该帐户是否应执行此类操作。
  • 调查未知进程的进程执行链（父进程树）。检查它们的执行文件是否普遍存在，它们是否位于预期位置，以及它们是否已使用有效的数字签名进行签名。
  • 调查过去 48 小时内与该用户/主机关联的其他警报。
  • 确定是否在此端点上最近创建了卷影副本。
  • 查看最终用户的权限，因为这需要管理访问权限。
  • 验证 ntds.dit 文件是否已成功复制，并确定其复制目标。
  • 调查最近通过 Reg.exe 进行的注册表 SYSTEM 文件复制或保存。
  • 调查最近删除的卷影副本。
  • 直接从卷影副本路径识别其他可能已复制的文件。

误报分析

  • 此规则应导致极少的误报。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

相关规则

  • 已复制 NTDS 或 SAM 数据库文件 - 3bc6deaa-fbd4-433a-ae21-3e892f95624f

响应和补救

  • 根据分类结果启动事件响应流程。
  • 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受入侵的帐户。重置这些帐户以及其他可能受入侵的凭据（如电子邮件、业务系统和网络服务）的密码。
  • 如果整个域或 krbtgt 用户遭到入侵
  • 激活针对 Active Directory 完全入侵的事件响应计划，其中应包括但不限于 krbtgt 用户的密码重置（两次）。
  • 找到并删除从卷影副本复制的静态文件。
  • 命令行工具 mklink 在默认情况下应需要管理访问权限，除非处于开发人员模式。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始媒介，并采取措施防止通过同一媒介再次感染。
  • 使用事件响应数据，更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置编辑

设置

确保启用了 Windows 的高级审核策略，具体为：对象访问策略 事件 ID 4656（请求对对象的句柄）

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
System Audit Policies >
Object Access >
Audit File System (Success,Failure)
Audit Handle Manipulation (Success,Failure)

此事件仅在从使用正确参数生成 cmd.exe 或 powershell.exe 的新进程创建符号链接时才会触发。直接访问 shell 和调用符号链接创建工具不会生成与该规则匹配的事件。

如果在非 Elastic Agent 索引（例如 beats）上为版本 <8.2 启用 EQL 规则，则事件不会定义 event.ingested，并且直到版本 8.2 才添加 EQL 规则的默认回退。因此，为了让此规则有效工作，用户需要添加一个自定义采集管道来填充 event.ingested 到 @timestamp。有关添加自定义采集管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and
 (
    (?process.pe.original_file_name in ("Cmd.Exe","PowerShell.EXE")) or
    (process.name : ("cmd.exe", "powershell.exe"))
 ) and

 /* Create Symbolic Link to Shadow Copies */
 process.args : ("*mklink*", "*SymbolicLink*") and process.command_line : ("*HarddiskVolumeShadowCopy*")

框架：MITRE ATT&CKTM

« Svchost 生成 Cmd 系统二进制文件移动或复制 »