Web Shell 检测：脚本进程是常见 Web 进程的子进程
编辑Web Shell 检测：脚本进程是常见 Web 进程的子进程编辑
识别通过 Web 服务器执行的可疑命令，这可能表明存在漏洞和远程 shell 访问。
规则类型：eql
规则索引:
- winlogbeat-*
- logs-endpoint.events.process-*
- logs-windows.*
- endgame-*
- logs-system.security*
- logs-sentinel_one_cloud_funnel.*
严重性：高
风险评分: 73
每隔：5 分钟运行一次
从以下时间开始搜索索引：now-9m（日期数学格式，另请参见 附加回溯时间）
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 策略：持久性
- 策略：初始访问
- 策略：执行
- 资源：调查指南
- 数据源：Elastic Endgame
- 数据源：Elastic Defend
- 数据源：SentinelOne
版本: 313
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
调查指南编辑
分类和分析
调查 Web Shell 检测：脚本进程是常见 Web 进程的子进程
攻击者可能会使用 Web shell 为 Web 服务器添加后门，以建立对系统的持久访问。Web shell 是放置在可公开访问的 Web 服务器上的 Web 脚本，允许攻击者使用 Web 服务器作为进入网络的网关。Web shell 可能会提供一组函数来执行或在托管 Web 服务器的系统上提供命令行界面。
此规则检测 Web 服务器进程生成脚本和命令行界面程序，这可能表明攻击者正在使用 Web shell 执行命令。
可能的调查步骤
- 调查受试进程观察到的异常行为，例如网络连接、注册表或文件修改以及任何其他生成的子进程。
- 检查命令行以确定执行了哪些命令或脚本。
- 调查过去 48 小时内与用户/主机关联的其他警报。
- 通过查找跨主机的类似事件来评估这种行为在环境中是否普遍存在。
- 如果丢弃了脚本或可执行文件，请检索文件并确定它们是否恶意
- 使用私有沙盒恶意软件分析系统执行分析。
- 观察并收集有关以下活动的信息
- 尝试联系外部域和地址。
- 文件和注册表访问、修改和创建活动。
- 服务创建和启动活动。
- 计划任务创建。
- 使用 PowerShell Get-FileHash cmdlet 获取文件的 SHA-256 哈希值。
- 在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和声誉。
误报分析
- 此活动不太可能合法发生。任何触发警报且本质上不恶意的活动都必须由安全团队监控。
响应和补救
- 根据分类结果启动事件响应流程。
- 隔离涉及的主机以防止进一步的入侵后行为。
- 如果分类识别出恶意软件，请在环境中搜索其他受感染的主机。
- 实施临时网络规则、程序和分段以遏制恶意软件。
- 停止可疑进程。
- 立即阻止已识别的入侵指标 (IoC)。
- 检查受影响的系统是否存在其他恶意软件后门，例如反向 shell、反向代理或攻击者可能用来重新感染系统的投放器。
- 删除和阻止分类期间识别的恶意工件。
- 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受感染的帐户。重置这些帐户和其他可能受感染的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
- 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
- 确定攻击者滥用的初始向量，并采取措施防止通过同一向量重新感染。
- 使用事件响应数据更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置编辑
设置
如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则（适用于版本 <8.2），则事件将不会定义 event.ingested，并且直到版本 8.2 才添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加一个自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html
规则查询编辑
process where host.os.type == "windows" and event.type == "start" and
process.parent.name : ("w3wp.exe", "httpd.exe", "nginx.exe", "php.exe", "php-cgi.exe", "tomcat.exe") and
process.name : ("cmd.exe", "cscript.exe", "powershell.exe", "pwsh.exe", "powershell_ise.exe", "wmic.exe", "wscript.exe") and
not
(
process.parent.name : ("php.exe", "httpd.exe") and process.name : "cmd.exe" and
process.command_line : (
"cmd.exe /c mode CON",
"cmd.exe /s /c \"mode CON\"",
"cmd.exe /c \"mode\"",
"cmd.exe /s /c \"tput colors 2>&1\""
)
)
框架: MITRE ATT&CKTM
-
策略
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
-
技术
- 名称：服务器软件组件
- ID：T1505
- 参考网址：https://attack.mitre.org/techniques/T1505/
-
子技术
- 名称：Web Shell
- ID：T1505.003
- 参考网址：https://attack.mitre.org/techniques/T1505/003/
-
策略
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
-
技术
- 名称：利用面向公众的应用程序
- ID：T1190
- 参考网址：https://attack.mitre.org/techniques/T1190/
-
策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
-
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考网址：https://attack.mitre.org/techniques/T1059/
-
子技术
- 名称：PowerShell
- ID：T1059.001
- 参考网址：https://attack.mitre.org/techniques/T1059/001/
-
子技术
- 名称：Windows 命令 Shell
- ID：T1059.003
- 参考网址：https://attack.mitre.org/techniques/T1059/003/
-
子技术
- 名称：Visual Basic
- ID：T1059.005
- 参考网址：https://attack.mitre.org/techniques/T1059/005/
-
技术
- 名称：Windows 管理规范
- ID：T1047
- 参考网址：https://attack.mitre.org/techniques/T1047/