› › ›

异常的 Windows 用户名

异常的 Windows 用户名编辑

机器学习作业检测到通常不活跃的用户名活动，这可能表明未经授权的更改、未经授权用户的活动、横向移动或凭据泄露。在许多组织中，除了特定类型的系统活动（例如为新员工创建新帐户）之外，通常不会创建新的用户名。这些用户帐户会迅速变得活跃和常规。很少使用的用户名发出的事件可能指向可疑活动。此外，自动化 Linux 服务器组倾向于仅在人员登录进行授权或未授权的更改，或威胁参与者获取凭据并出于恶意目的登录时，才会看到很少使用的用户名发出的活动。异常的用户名还可能表明枢轴，即使用泄露的凭据尝试在不同主机之间横向移动。

规则类型: machine_learning

规则索引: 无

严重性: 低

风险评分: 21

每隔运行: 15 分钟

从以下时间开始搜索索引: now-45m（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

https://elastic.ac.cn/guide/en/security/current/prebuilt-ml-jobs.html

标签:

域：端点
操作系统：Windows
用例：威胁检测
规则类型：ML
规则类型：机器学习
策略：初始访问

版本: 105

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南编辑

分类和分析

调查不寻常的 Windows 用户

此规则的检测警报指示罕见且不寻常的 Windows 用户名活动。以下是一些可能的调查途径：- 考虑由用户名字段标识的用户。此程序是否是运行此程序的用户在此主机上的预期工作流的一部分？这是否可能与偶尔的故障排除或支持活动有关？- 检查用户活动历史记录。如果此用户仅最近出现，则它可能是新软件包的服务帐户。如果它具有稳定的节奏（例如，如果它每月或每季度运行一次），则它可能是每月或每季度业务流程的一部分。- 检查进程参数、标题和工作目录。这些可能提供有关程序来源或用户执行的任务性质的指示。- 对父进程考虑相同的情况。如果父进程是合法的系统实用程序或服务，则这可能与软件更新或系统管理有关。如果父进程是面向用户的，如 Office 应用程序，则此进程可能更可疑。

设置编辑

设置

此规则需要安装关联的机器学习作业，以及来自以下集成之一的数据：- Elastic Defend - Windows

异常检测设置

启用规则后，关联的机器学习作业将自动启动。您可以在检测规则的“定义”面板下查看链接的机器学习作业。如果作业因错误而无法启动，则必须解决该问题才能成功启动作业。有关设置异常检测作业的更多详细信息，请参阅帮助指南。

Elastic Defend 集成设置

Elastic Defend 使用 Fleet 集成到 Elastic Agent 中。配置后，集成允许 Elastic Agent 监视主机上的事件并将数据发送到 Elastic Security 应用。

先决条件

Elastic Defend 需要 Fleet。
如需配置 Fleet Server，请参阅文档。

应按以下步骤操作，将 Elastic Defend 集成添加到您的系统中

转到 Kibana 主页，然后单击“添加集成”。
在查询栏中，搜索“Elastic Defend”，然后选择该集成以查看有关它的更多详细信息。
单击“添加 Elastic Defend”。
配置集成名称，并可以选择添加描述。
选择您要保护的环境类型，“传统端点”或“云工作负载”。
选择配置预设。每个预设都带有 Elastic Agent 的不同默认设置，您可以通过配置 Elastic Defend 集成策略进一步自定义这些设置。帮助指南。
我们建议选择“完整 EDR（端点检测和响应）”作为配置设置，它提供“所有事件；所有预防措施”
在“新建代理策略名称”中输入代理策略的名称。如果其他代理策略已存在，您可以单击“现有主机”选项卡，然后选择现有策略。有关 Elastic Agent 配置设置的更多详细信息，请参阅帮助指南。
单击“保存并继续”。
要完成集成，请选择“将 Elastic Agent 添加到您的主机”，然后继续到下一部分，在您的主机上安装 Elastic Agent。有关 Elastic Defend 的更多详细信息，请参阅帮助指南。

Windows 集成设置

Windows 集成允许您监视 Windows 操作系统、服务、应用程序等。

应按以下步骤操作，将 Elastic Agent 系统集成“windows”添加到您的系统中

转到 Kibana 主页，然后单击“添加集成”。
在查询栏中，搜索“Windows”，然后选择该集成以查看有关它的更多详细信息。
单击“添加 Windows”。
配置集成名称，并可以选择添加描述。
相应地查看可选设置和高级设置。
将新安装的“windows”添加到现有或新的代理策略，然后在您希望获取 Windows 日志文件的系统上部署该代理。
单击“保存并继续”。
有关集成的更多详细信息，请参阅帮助指南。

框架：MITRE ATT&CK^TM

策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：有效帐户
- ID：T1078
- 参考 URL：https://attack.mitre.org/techniques/T1078/
子技术
- 名称：域帐户
- ID：T1078.002
- 参考 URL：https://attack.mitre.org/techniques/T1078/002/
子技术
- 名称：本地帐户
- ID：T1078.003
- 参考 URL：https://attack.mitre.org/techniques/T1078/003/

« 异常的 Windows 用户权限提升活动用户帐户创建 »