Aanvallers die code op een systeem kunnen uitvoeren, proberen mogelijk de zichtbaarheid te verminderen voordat ze hun activiteiten voortzetten. Het uitschakelen van endpointbescherming, het stoppen van auditservices, het wissen van logboeken of het blokkeren van beveiligingstelemetrie zijn belangrijke gedragingen die een SOC moet monitoren.
De bron definieert een platformoverschrijdende zoekactie die Windows-processtelemetrie combineert met Linux-logindicatoren.
Windows-indicatoren voor ontwijking van verdediging
Het Windows-gedeelte van de zoekopdracht zoekt naar opdrachtregels met acties zoals:
Set-MpPreference;DisableRealtimeMonitoring;het stoppen van Windows Defender;
het wissen van gebeurtenislogs met
wevtutil;het wissen van het auditbeleid;
het uitschakelen van firewallcontroles.
Linux-indicatoren voor ontwijking van verdediging
De Linux-kant doorzoekt volledige logboeken op acties zoals:
setenforce 0;het stoppen van
auditd;het wijzigen van iptables;
het blokkeren van poorten 514 of 6514 die voor logtransport worden gebruikt.
Detectiequery
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")De bron registreerde 13,751 overeenkomende gebeurtenissen in de afgelopen 30 dagen.
Waarom het volume geanalyseerd moet worden
Beheerhulpmiddelen en onderhoudsscripts kunnen beveiligingsinstellingen legitiem wijzigen. Een ruwe zoekopdracht naar deze opdrachten kan daarom verwachte activiteit bevatten.
De nuttigste volgende stap is vaststellen:
welke opdrachten de meeste overeenkomsten opleveren;
welke hosts ze uitvoeren;
welke accounts erbij betrokken zijn;
of ze plaatsvinden tijdens goedgekeurd onderhoud;
of ze samenvallen met andere verdachte gebeurtenissen.
Dezelfde opdracht kan een heel andere betekenis hebben, afhankelijk van de context.
Onderzoeksprioriteiten
Gebeurtenissen moeten een hogere prioriteit krijgen wanneer beveiligingscontroles worden gewijzigd:
direct na verdachte procesuitvoering;
door een onverwachte gebruiker;
op productieservers;
kort vóór persistentie of credentialtoegang;
samen met uitgaande tunnel- of ransomware-opdrachten.
Analisten moeten vaststellen of de beveiligingsinstelling later is hersteld en of er hiaten in de logregistratie zijn ontstaan.
Afstemmingsstrategie
Sluit niet zomaar al het gebruik van een opdracht zoals Set-MpPreference uit. Documenteer in plaats daarvan goedgekeurde automatisering en beperk uitzonderingen op basis van host, account, opdrachtregel en verwacht schema.
Zo blijft de zichtbaarheid van dezelfde opdracht behouden wanneer deze elders voorkomt.
Correlatiewaarde
Ontwijking van verdediging is vooral belangrijk als onderdeel van een aanvalssequentie.
Bijvoorbeeld:
webapplicatie-RCE → PowerShell → Defender uitgeschakeld → persistentie aangemaakt
is veel veelzeggender dan elke afzonderlijke gebeurtenis.
Operationele waarde
Beveiligingscontroles bestaan om zichtbaarheid te creëren. Pogingen om die controles uit te schakelen moeten daarom een kernonderdeel van threat hunting blijven.
Zelfs in omgevingen met legitiem beheergebruik kunnen het opstellen van een referentiebasis en correlatie een ruisgevoelige zoekactie naar opdrachten omvormen tot waardevolle detectie na misbruik.
