用户被添加到管理员组

初步调查和分析

要彻底调查用户被提升为管理员后发生的操作，必须在时间轴上进行搜索。 这使您可以查看和了解提升后发生的事件序列，从而帮助识别可能发生的任何潜在恶意或未经授权的活动。 分析这些操作对于维护安全和确保提升不会被用于有害目的至关重要。

考虑查看以下操作

!{investigate{"label":"显示权限提升后的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"}]],"relativeFrom":"now","relativeTo":"now+30m"}} !{investigate{"label":"显示具有相同责任进程的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"},{"excluded":false,"field":"process.entity_id","queryType":"phrase","value":"{{process.group_leader.entity_id}}","valueType":"string"}]]}} !{investigate{"label":"显示具有相同父进程的事件","providers":[[{"excluded":false,"field":"host.hostname","queryType":"phrase","value":"{{host.hostname}}","valueType":"string"},{"excluded":false,"field":"process.entity_id","queryType":"phrase","value":"{{process.parent.entity_id}}","valueType":"string"}]]}}

设置

此规则需要来自 Jamf Protect 的数据。

Jamf Protect 集成设置

Jamf Protect 使用 Fleet 集成到 Elastic Agent 中。配置后，该集成允许 Elastic Agent 监视传入事件并将数据发送到 Elastic。

先决条件

应执行以下步骤以添加 Jamf Protect 集成

configuration where host.os.type == "macos" and event.type == "change" and
  event.action == "od_group_add" and group.name:"admin"

框架: MITRE ATT&CK^TM