Angreifer, die auf einem System Code ausführen können, versuchen möglicherweise, die Sichtbarkeit zu verringern, bevor sie ihre Aktivitäten fortsetzen. Das Deaktivieren des Endpunktschutzes, das Beenden von Audit-Diensten, das Löschen von Protokollen oder das Blockieren von Sicherheitstelemetrie sind wichtige Verhaltensweisen, die ein SOC überwachen sollte.
Die Quelle definiert eine plattformübergreifende Suche, die Windows-Prozesstelemetrie mit Linux-Protokollindikatoren kombiniert.
Windows-Indikatoren für die Umgehung der Abwehr
Der Windows-Teil der Abfrage sucht nach Befehlszeilen mit Aktionen wie:
Set-MpPreference;DisableRealtimeMonitoring;Beenden von Windows Defender;
Löschen von Ereignislogs mit
wevtutil;Löschen der Audit-Richtlinie;
Deaktivieren von Firewall-Kontrollen.
Linux-Indikatoren für die Umgehung der Abwehr
Die Linux-Seite durchsucht vollständige Protokolle nach Aktionen wie:
setenforce 0;Beenden von
auditd;Ändern von iptables;
Blockieren der Ports 514 oder 6514, die für den Protokolltransport verwendet werden.
Erkennungsabfrage
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")Die Quelle verzeichnete 13,751 passende Ereignisse in den vorangegangenen 30 Tagen.
Warum das Volumen analysiert werden muss
Administrationswerkzeuge und Wartungsskripte können Sicherheitseinstellungen legitim ändern. Eine Rohabfrage nach diesen Befehlen kann daher auch erwartete Aktivitäten enthalten.
Der nützlichste nächste Schritt besteht darin zu ermitteln:
welche Befehle die meisten Treffer erzeugen;
welche Hosts sie ausführen;
welche Konten beteiligt sind;
ob sie während freigegebener Wartungsfenster auftreten;
ob sie mit anderen verdächtigen Ereignissen zusammenfallen.
Derselbe Befehl kann je nach Kontext eine ganz andere Bedeutung haben.
Untersuchungsprioritäten
Ereignisse sollten höher priorisiert werden, wenn Sicherheitskontrollen geändert werden:
unmittelbar nach einer verdächtigen Prozessausführung;
durch einen unerwarteten Benutzer;
auf Produktionsservern;
kurz vor Persistenz oder Zugriff auf Anmeldedaten;
zusammen mit ausgehenden Tunnelungs- oder Ransomware-Befehlen.
Analysten sollten feststellen, ob die Sicherheitseinstellung später wiederhergestellt wurde und ob Lücken in der Protokollierung entstanden sind.
Strategie zur Feinabstimmung
Schließen Sie nicht einfach jede Verwendung eines Befehls wie Set-MpPreference aus. Dokumentieren Sie stattdessen genehmigte Automatisierung und beschränken Sie Ausnahmen nach Host, Konto, Befehlszeile und erwartetem Zeitplan.
So bleibt die Sichtbarkeit desselben Befehls erhalten, wenn er an anderer Stelle auftritt.
Korrelationswert
Die Umgehung der Abwehr ist besonders wichtig als Teil einer Angriffssequenz.
Zum Beispiel:
RCE in Webanwendung → PowerShell → Defender deaktiviert → Persistenz eingerichtet
ist deutlich aussagekräftiger als jedes einzelne Ereignis.
Betrieblicher Nutzen
Sicherheitskontrollen dienen der Sichtbarkeit. Versuche, diese Kontrollen zu deaktivieren, sollten daher ein zentraler Bestandteil des Threat Huntings bleiben.
Selbst in Umgebungen mit legitimer administrativer Nutzung können das Erstellen von Basislinien und Korrelation eine rauschende Befehlssuche in eine wertvolle Erkennung von Aktivitäten nach der Ausnutzung verwandeln.
