Atacatorii care obțin execuția pe un sistem pot încerca să reducă vizibilitatea înainte de a-și continua activitatea. Dezactivarea protecției endpoint-ului, oprirea serviciilor de audit, ștergerea jurnalelor sau blocarea telemetriei de securitate sunt toate comportamente importante pe care un SOC trebuie să le monitorizeze.
Sursa definește o vânătoare multi-platformă care combină telemetria de procese Windows cu indicatorii de jurnal Linux.
Indicatori de evaziune a apărării în Windows
Partea Windows a interogării caută linii de comandă care conțin acțiuni precum:
Set-MpPreference;DisableRealtimeMonitoring;oprirea Windows Defender;
ștergerea jurnalelor de evenimente cu
wevtutil;ștergerea politicii de audit;
dezactivarea controalelor firewall.
Indicatori de evaziune a apărării în Linux
Partea Linux caută în jurnalele complete acțiuni precum:
setenforce 0;oprirea
auditd;modificarea iptables;
blocarea porturilor 514 sau 6514 utilizate pentru transportul jurnalelor.
Interogarea de detectare
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")Sursa a înregistrat 13.751 de evenimente potrivite în ultimele 30 de zile.
De ce volumul necesită analiză
Instrumentele administrative și scripturile de mentenanță pot modifica în mod legitim setările de securitate. O interogare brută pentru aceste comenzi poate include, prin urmare, activitate așteptată.
Cel mai util pas următor este identificarea:
căror comenzi le corespund cele mai multe potriviri;
căror gazde le execută;
căror conturi sunt implicate;
dacă apar în timpul unei mentenanțe aprobate;
dacă coincid cu alte evenimente suspecte.
Aceeași comandă poate avea semnificații foarte diferite în funcție de context.
Priorități în investigare
Evenimentele ar trebui să primească o prioritate mai mare atunci când controalele de securitate sunt modificate:
imediat după o execuție suspectă de proces;
de către un utilizator neașteptat;
pe serverele de producție;
cu puțin timp înainte de persistență sau acces la credențiale;
împreună cu tunelarea de ieșire sau comenzi de ransomware.
Analiștii ar trebui să determine dacă setarea de securitate a fost restabilită ulterior și dacă au fost create lacune în jurnalizare.
Strategia de reglare
Nu excludeți pur și simplu orice utilizare a unei comenzi precum Set-MpPreference. În schimb, documentați automatizarea aprobată și restrângeți excepțiile în funcție de gazdă, cont, linie de comandă și programul așteptat.
Acest lucru păstrează vizibilitatea asupra aceleiași comenzi atunci când apare în altă parte.
Valoarea corelării
Evaziunea apărării este deosebit de importantă ca parte a unei secvențe de atac.
De exemplu:
RCE al aplicației web → PowerShell → Defender dezactivat → persistență creată
este mult mai semnificativ decât orice eveniment izolat.
Valoare operațională
Controalele de securitate există pentru a crea vizibilitate. Tentativele de a dezactiva aceste controale ar trebui, prin urmare, să rămână o parte esențială a vânătorii amenințărilor.
Chiar și în mediile cu utilizare administrativă legitimă, stabilirea liniei de bază și corelarea pot transforma o vânătoare de comenzi zgomotoasă într-o detectare valoroasă post-exploatare.
