系统 Hosts 文件访问

识别使用内置工具读取本地计算机上的 \etc\hosts 内容的情况。攻击者可能使用此数据发现环境中的远程计算机，这些计算机可用于从当前系统进行横向移动。

规则类型: eql

规则索引:

严重性: 低

风险评分: 21

每隔: 60m

从以下时间开始搜索索引: now-119m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

版本: 3

规则作者:

规则许可证: Elastic License v2

process where event.type == "start" and event.action in ("exec", "exec_event", "executed", "process_started") and
process.name in ("vi", "nano", "cat", "more", "less") and process.args == "/etc/hosts"