dns.exe 异常文件修改

分类和分析

调查异常文件写入

此规则的检测警报表明在利用 CVE-2020-1350 (SigRed) 之后，DNS 服务器服务进程 (dns.exe) 可能发生了潜在的异常/不正常文件写入。以下是一些可能的调查途径： - 在利用之后，攻击者可能会将其他文件或有效载荷写入系统，作为其他发现/利用/持久性机制。 - 应仔细检查来自 dns.exe 的任何可疑或异常文件并进行调查。

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，版本 <8.2 的事件将不会定义 event.ingested，并且直到版本 8.2 才添加了 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加一个自定义摄取管道来填充 event.ingested 到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参考 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

file where host.os.type == "windows" and process.name : "dns.exe" and event.type in ("creation", "deletion", "change") and
  not file.name : "dns.log" and not
  (file.extension : ("old", "temp", "bak", "dns", "arpa") and file.path : "C:\\Windows\\System32\\dns\\*")

框架: MITRE ATT&CK^TM