Экспертиза MaxPatrol SIEM

Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов с целью выявления протоколов, которые не соответствуют ожидаемым стандартам этих протоколов и потокам трафика (например, посторонние пакеты, не относящиеся к установленным потокам, а также необычные шаблоны, синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

Отслеживайте в сетевых данных необычные потоки данных. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными.

Отслеживайте вызовы API, с помощью которых злоумышленники могут попытаться получить доступ к учетным данным, хранящимся в памяти процесса службы проверки подлинности локальной системы безопасности (LSASS). Для дампа процесса LSASS могут применяться такие вызовы API ОС, как OpenProcess и MiniDumpWriteDump. Выполнение этих функций может вызвать появление событий с ИД 4663 в журналах безопасности (Microsoft Security Auditing) и событий с ИД 10 (Microsoft Sysmon).

Примечание. Большинство инструментов EDR не поддерживают прямой мониторинг вызовов API, так как конечная система генерирует их слишком много. Однако они могут создавать оповещения или события на основе абстракции вызовов API ОС. Для отслеживания процедуры выполнения (включая вызовы API ОС) отдельного PE-бинарного файла можно использовать инструменты динамического анализа вредоносного ПО (то есть песочницы).

Отслеживайте взаимодействие нетипичных процессов с lsass.exe. Программы для создания дампа учетных данных, такие как Mimikatz, обращаются к этому процессу, определяют местоположение ключа секретов LSA и расшифровывают разделы памяти, в которых хранятся учетные данные. Такие программы также могут использовать методы отраженного внедрения кода в процессы, чтобы скрыть возможные индикаторы вредоносной активности.

Использование Procdump и диспетчера задач Windows для создания дампов LSASS может детектироваться на основании событий создания процессов, поскольку обе службы используют предсказуемый набор аргументов командной строки для указания на процесс, дамп которого нужно создать.

Примечание. События обращения к службе Sysmon (событие с ИД 10) могут генерировать большое количество ложных срабатываний. Чтобы их сократить, требуется изменить файл конфигурации Sysmon. Рекомендуется использовать подход, аналогичный реализованному в проекте Sysmon Modular Configuration (https://github.com/olafhartong/sysmon-modular), и отфильтровывать безопасные процессы, которые генерируют много событий обращения к процессам.

Значение GrantedAccess в приведенном ниже анализе использования Mimikatz выбрано исключительно для иллюстрации метода детектирования обращения Mimikatz к LSASS. В реальной среде значения GrantedAccess могут изменяться с выходом новых версий Mimikatz, поэтому специалистам по обнаружению следует всегда проверять актуальность значений GrantedAccess, на основании которых выполняется анализ.

Анализ 1. Mimikatz

(source=WinEventLog:"Microsoft-Windows-Sysmon/Operational" EventCode="10" AND TargetImage= "lsass.exe" AND (GrantedAccess=0x1410 OR GrantedAccess=0x1010 OR GrantedAccess=0x1438 OR GrantedAccess=0x143a OR GrantedAccess=0x1418) CallTrace="C:\windows\SYSTEM32\ntdll.dll+|C:\windows\System32\KERNELBASE.dll+20edd|UNKNOWN()")

Анализ 2. Procdump

((sourceType=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="10") AND TargetImage= "*lsass.exe" AND SourceImage= "*procdump.exe")

Анализ 3. Диспетчер задач Windows

((sourceType=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="10") AND TargetImage="*lsass.exe" AND SourceImage= "c:\windows*\taskmgr.exe")

Отслеживайте в журналах контроллера домена запросы на репликацию и другую незапланированную деятельность, которая может быть связана с DCSync . Примечание. Контроллер домена может не журналировать запросы на репликацию, которые исходят от стандартной учетной записи контроллера домена . Отслеживайте запросы на репликацию от IP-адресов, не связанных с известными контроллерами домена .

Аналитика 1. Подозрительный AD

source="*WinEventLog:Security" EventCode="4662" AND AccessMask= "0x100" AND (guid= “1131f6ad-9c07-11d1-f79f-00c04fc2dcd2” OR guid= “1131f6aa-9c07-11d1-f79f-00c04fc2dcd2” OR guid= “9923a32a-3607-11d2-b9be-0000f87a36b2” OR guid= “89e95b76-444d-4c62-991a-0facbeda640c“)

Отслеживайте запуск новых процессов, которые могут указывать на создание дампа учетных данных. В журналах Windows 8.1 и Windows Server 2012 R2 проверяйте, был ли процесс lsass.exe запущен как защищенный процесс. По возможности отслеживайте события Sysmon с ИД 1 и (или) события безопасности Windows с ИД 4688 на предмет активности процессов.

Примечание. В отличие от Procdump, в синтаксисе командной строки Rundll32/MiniDump вместо имени процесса, дамп которого нужно создать, используется его идентификатор. И поскольку идентификатор процесса LSASS является недетерминированным, обнаружение файла MiniDump не всегда указывает на создание дампа LSASS. Чтобы снизить количество ложных срабатываний, может потребоваться дополнительная настройка инструментов. Выполняя мониторинг функций DLL в командной строке, всегда проверяйте порядковый номер функции.

Анализ 1. Procdump

(source=WinEventLog:"*Security" EventCode="4688") OR (source=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="1") AND Image="procdump*.exe" | where CommandLine LIKE "%lsass%"

Анализ 2. Создание MiniDump через rundll32

(source=WinEventLog:"*Security" EventCode="4688") OR (source=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="1") AND Image="\*rundll32.exe" | where CommandLine LIKE "%comsvcs.dll MiniDump%" OR CommandLine="_comsvcs.dll,#24")

Отслеживайте недавно созданные файлы с именами по умолчанию, в которых записаны учетные данные, полученные в диспетчере учетных записей безопасности (SAM).

Отслеживайте попытки получения доступа к секретам LSA, которые хранятся в разделе реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets.

Отслеживайте попытки доступа к файлам, которые могут быть использованы для дампа содержимого директорий /etc/passwd и /etc/shadow с целью взлома паролей в автономном режиме. Инструмент AuditD, который по умолчанию установлен во многих версиях Linux, можно использовать для отслеживания вредоносных программ. Если те попытаются получить доступ к каталогам /etc/passwd и /etc/shadow, AuditD уведомит вас о PID, имени процесса и аргументах этих программ.

Отслеживайте выполнение команд с аргументами, которые могут использоваться для получения доступа к кэшированным учетным данным домена для аутентификации в случае недоступности контроллера домена. Работая со средствами удаленного доступа, злоумышленники могут использовать их встроенные функции или интегрировать их с имеющимися инструментами, например Mimikatz. Некоторые сценарии PowerShell также позволяют создавать дампы учетных данных, например модуль PowerSploit Invoke-Mimikatz. Для сбора данных о работе этого модуля и их последующего анализа может потребоваться дополнительная настройка функций журналирования. Также рекомендуется сосредоточиться на обнаружении скомпрометированных существующих учетных записей, которыми пользуются злоумышленники.

По возможности добавляйте пользователей в группу безопасности Active Directory "Защищенные пользователи". Это поможет ограничить кэширование учетных данных пользователей в виде открытого текста.

Чтобы избежать дублирования учетных данных в разных учетных записях и системах, научите пользователей и администраторов не использовать один и тот же пароль для нескольких учетных записей.

В Windows 8.1 и Windows Server 2012 R2 включите функцию Protected Process Light для LSA.

Следуйте лучшим практикам ограничения доступа к привилегированным учетным записям, чтобы избежать доступа враждебных программ к конфиденциальной информации.

Проследите, чтобы учетные записи root имели сложные, уникальные пароли для всех систем в сети.

По возможности отключите или ограничьте NTLM.

В Windows 10 включите правила Attack Surface Reduction (ASR) для защиты LSASS и предотвращения кражи учетных данных .

Обеспечьте надлежащую защиту резервных копий контроллера домена.

В Windows 10 компания Microsoft внедрила новые средства защиты под названием Credential Guard для защиты секретов LSA, которые могут быть использованы для получения учетных данных с помощью форм сброса учетных данных. Он не настроен по умолчанию и имеет системные требования к аппаратному обеспечению и прошивке системы. Он также не защищает от всех форм дампинга учетных данных.