Gli attaccanti che ottengono l'esecuzione su un sistema possono tentare di ridurre la visibilità prima di proseguire la propria attività. Disattivare la protezione degli endpoint, arrestare i servizi di audit, cancellare i log o bloccare la telemetria di sicurezza sono comportamenti importanti che un SOC deve monitorare.
La fonte definisce una ricerca multipiattaforma che combina la telemetria dei processi Windows con gli indicatori dei log Linux.
Indicatori di elusione delle difese su Windows
La parte Windows della query cerca righe di comando contenenti azioni come:
Set-MpPreference;DisableRealtimeMonitoring;arresto di Windows Defender;
cancellazione dei log eventi con
wevtutil;cancellazione delle policy di audit;
disattivazione dei controlli del firewall.
Indicatori di elusione delle difese su Linux
Il lato Linux cerca nei log completi azioni come:
setenforce 0;arresto di
auditd;modifica di iptables;
blocco delle porte 514 o 6514 usate per il trasporto dei log.
Query di rilevamento
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")La fonte ha registrato 13,751 eventi corrispondenti nei 30 giorni precedenti.
Perché il volume richiede un'analisi
Strumenti amministrativi e script di manutenzione possono modificare legittimamente le impostazioni di sicurezza. Una query grezza su questi comandi può quindi includere attività attese.
Il passo successivo più utile è individuare:
quali comandi generano più corrispondenze;
quali host li eseguono;
quali account sono coinvolti;
se avvengono durante una manutenzione approvata;
se coincidono con altri eventi sospetti.
Lo stesso comando può avere un significato molto diverso a seconda del contesto.
Priorità di indagine
Gli eventi dovrebbero ricevere una priorità più alta quando i controlli di sicurezza vengono modificati:
subito dopo l'esecuzione di un processo sospetto;
da un utente inatteso;
su server di produzione;
poco prima di persistenza o accesso alle credenziali;
insieme a comandi di tunneling in uscita o di ransomware.
Gli analisti dovrebbero stabilire se l'impostazione di sicurezza è stata ripristinata in seguito e se si sono create lacune nella registrazione degli eventi.
Strategia di ottimizzazione
Non escluda semplicemente ogni utilizzo di un comando come Set-MpPreference. Documenti invece l’automazione approvata e limiti le esclusioni per host, account, riga di comando e pianificazione prevista.
Questo preserva la visibilità sullo stesso comando quando compare altrove.
Valore della correlazione
L'elusione delle difese è particolarmente importante come parte di una sequenza di attacco.
Ad esempio:
RCE nell'applicazione web → PowerShell → Defender disattivato → persistenza creata
è molto più significativo di qualsiasi singolo evento.
Valore operativo
I controlli di sicurezza esistono per creare visibilità. I tentativi di disattivarli dovrebbero quindi rimanere una parte centrale del threat hunting.
Anche negli ambienti con un uso amministrativo legittimo, definizione della baseline e correlazione possono trasformare una ricerca di comandi rumorosa in un prezioso rilevamento di post-sfruttamento.
