Les attaquants qui obtiennent l'exécution sur un système peuvent tenter de réduire la visibilité avant de poursuivre leur activité. Désactiver la protection des endpoints, arrêter les services d'audit, effacer les journaux ou bloquer la télémétrie de sécurité sont autant de comportements importants à surveiller pour un SOC.
La source définit une recherche multiplateforme qui combine la télémétrie de processus Windows et les indicateurs de journaux Linux.
Indicateurs de contournement des défenses sous Windows
La partie Windows de la requête recherche des lignes de commande contenant des actions telles que :
Set-MpPreference;DisableRealtimeMonitoring;l'arrêt de Windows Defender ;
effacement des journaux d’événements avec
wevtutil;l'effacement de la stratégie d'audit ;
la désactivation des contrôles du pare-feu.
Indicateurs de contournement des défenses sous Linux
Le côté Linux recherche dans les journaux complets des actions telles que :
setenforce 0;arrêt de
auditd;la modification d'iptables ;
le blocage des ports 514 ou 6514 utilisés pour le transport des journaux.
Requête de détection
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")La source a enregistré 13,751 événements correspondants au cours des 30 derniers jours.
Pourquoi le volume doit être analysé
Les outils d'administration et les scripts de maintenance peuvent légitimement modifier les paramètres de sécurité. Une requête brute sur ces commandes peut donc inclure des activités attendues.
L'étape suivante la plus utile consiste à identifier :
quelles commandes génèrent le plus de correspondances ;
quels hôtes les exécutent ;
quels comptes sont impliqués ;
si elles ont lieu pendant une maintenance approuvée ;
si elles coïncident avec d'autres événements suspects.
La même commande peut avoir une signification très différente selon le contexte.
Priorités d'investigation
Les événements doivent recevoir une priorité plus élevée lorsque des contrôles de sécurité sont modifiés :
immédiatement après l'exécution d'un processus suspect ;
par un utilisateur inattendu ;
sur des serveurs de production ;
peu avant une persistance ou un accès aux identifiants ;
en même temps que des commandes de tunnellisation sortante ou de ransomware.
Les analystes doivent déterminer si le paramètre de sécurité a ensuite été rétabli et si des lacunes de journalisation ont été créées.
Stratégie de réglage
N’excluez pas simplement toute utilisation d’une commande telle que Set-MpPreference. Documentez plutôt l’automatisation approuvée et limitez les exclusions par hôte, compte, ligne de commande et planification attendue.
Cela préserve la visibilité sur la même commande lorsqu'elle apparaît ailleurs.
Valeur de la corrélation
Le contournement des défenses est particulièrement important lorsqu'il s'inscrit dans une séquence d'attaque.
Par exemple :
RCE sur application web → PowerShell → Defender désactivé → persistance créée
est beaucoup plus significatif que n'importe quel événement isolé.
Valeur opérationnelle
Les contrôles de sécurité existent pour créer de la visibilité. Les tentatives de désactivation de ces contrôles doivent donc rester un élément central de la chasse aux menaces.
Même dans les environnements où l'usage administratif légitime existe, l'établissement de références et la corrélation peuvent transformer une recherche de commandes bruyante en une précieuse détection de post-exploitation.
