Sobald ein Angreifer auf einem Windows-System Code ausführen kann, können der Zugriff auf Anmeldedaten und laterale Bewegung die nächsten Ziele werden. Die Überwachung bekannter Verhaltensweisen für das Auslesen von Anmeldedaten und Fernausführung kann helfen, diesen Übergang zu erkennen.
Die Quelle definiert eine einzelne Suche nach Prozesserstellung, die Befehlszeilenindikatoren mit bekannten Namen ausführbarer Dateien kombiniert.
Indikatoren für Zugriff auf Anmeldedaten
Die Abfrage sucht nach Zeichenfolgen im Zusammenhang mit:
sekurlsa;lsadump;comsvcs.dllMiniDump;ProcDump auf LSASS;
Export von SAM und SYSTEM aus der Registrierungsdatenbank.
Außerdem wird die Ausführung von mimikatz.exe geprüft.
Indikatoren für laterale Bewegung
Dieselbe Abfrage enthält:
PsExec;
PAExec;
WMI
/node;Erstellung von
Win32_Process.
Diese können für legitime Administration genutzt werden, sind aber auch wichtige Verhaltensweisen lateraler Bewegung, wenn sie unerwartet auftreten.
Erkennungsabfrage
data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))
Die Quelle verzeichnete drei passende Ereignisse in den vorangegangenen 30 Tagen.
Warum Ergebnisse mit geringem Volumen Aufmerksamkeit verdienen
Im Vergleich zu breiteren Prozesssuchen sind drei Ereignisse eine kleine Zahl. Das macht eine manuelle Prüfung praktikabel und lohnenswert.
Jedes Ereignis sollte als Anhaltspunkt und nicht als automatischer Vorfall behandelt werden. PsExec und WMI können legitime Verwaltungswerkzeuge sein, während Befehle zum Auslesen von Anmeldedaten in der Regel eine stärkere Begründung erfordern.
Untersuchungsablauf
Prüfen Sie:
genaue Befehlszeile;
auslösender Benutzer;
übergeordneter Prozess;
Fernziel, falls vorhanden;
Quell- und Zielhosts;
Authentifizierungsereignisse;
Datei-Hashwerte;
Warnungen von Sicherheitsprodukten.
Tritt ein LSASS-Zugriff oder Export einer Registrierungsstruktur nach verdächtiger Ausnutzungsaktivität auf, sollte das Ereignis schnell eskaliert werden.
Korrelationsmöglichkeiten
Zugriff auf Anmeldedaten ist besonders aussagekräftig, wenn er nach Folgendem auftritt:
Ausnutzung von Browsern;
serverseitiger RCE;
Rechteausweitung auf SYSTEM.
Umgehung von Schutzmaßnahmen.
Ebenso kann die Nutzung von PsExec oder WMI kurz nach dem Auslesen von Anmeldedaten auf eine Bewegung zu weiteren Systemen hindeuten.
Feinabstimmung
Die genehmigte administrative Nutzung von PsExec oder WMI sollte anhand bekannter Konten, Systeme und Management-Infrastruktur dokumentiert werden.
Vermeiden Sie es, diese Werkzeuge global auszuschließen, da ihre Nutzung außerhalb des genehmigten Musters weiterhin wertvoll ist.
Betrieblicher Nutzen
Diese Erkennung kombiniert mehrere hochwertige Verhaltensweisen nach der Ausnutzung zu einer kompakten Suche.
Da die Quelle nur drei Treffer verzeichnete, kann sie eine überschaubare Prüfwarteschlange und eine gute Gelegenheit bieten, Diebstahl von Anmeldedaten oder nicht autorisierte Fernausführung zu erkennen.
