Экспертиза MaxPatrol SIEM

Отслеживайте выполнение команд с аргументами, которые могут использоваться для получения доступа к учетным данным, хранящимся в памяти процесса службы проверки подлинности локальной системы безопасности (LSASS). Работая со средствами удаленного доступа, злоумышленники могут использовать их встроенные функции или интегрировать их с имеющимися инструментами, например Mimikatz. Некоторые сценарии PowerShell также позволяют создавать дампы учетных данных, например модуль PowerSploit Invoke-Mimikatz. Для сбора данных о работе этого модуля и их последующего анализа может потребоваться дополнительная настройка функций журналирования.

Примечание. При запуске блоков сценариев PowerShell в журнале Microsoft-Windows-PowerShell/Operational генерируется событие с идентификатором 4104, в которое записывается содержимое этих блоков; анализ этих событий может показать, использовались ли блоки для создания дампа LSASS.

Отслеживайте изменения в записях реестра, связанных с доступом к учетным данным, которые хранятся в памяти процесса LSASS. Например, злоумышленники могут изменять файлы SAM и SYSTEM.

Отслеживайте попытки входа в систему с использованием учетных данных, извлеченных из памяти процесса LSASS. Например, отслеживайте в системе действия, похожие на работу инструмента Secretsdump, которые не были инициированы контроллером домена.

Отслеживайте нетипичное создание дампов памяти для процесса LSASS (lsass{*}.dmp).

Отслеживайте вызовы API, с помощью которых злоумышленники могут попытаться получить доступ к учетным данным, хранящимся в памяти процесса службы проверки подлинности локальной системы безопасности (LSASS). Для дампа процесса LSASS могут применяться такие вызовы API ОС, как OpenProcess и MiniDumpWriteDump. Выполнение этих функций может вызвать появление событий с идентификатором 4663 в журналах безопасности (Microsoft Security Auditing) и событий с идентификатором 10 (Microsoft Sysmon).

Примечание. Большинство инструментов EDR не поддерживают прямой мониторинг вызовов API, так как конечная система генерирует их слишком много. Однако они могут создавать оповещения или события на основе абстракции вызовов API ОС. Для отслеживания процедуры выполнения (включая вызовы API ОС) отдельного PE-бинарного файла можно использовать инструменты динамического анализа вредоносного ПО (то есть песочницы).

Отслеживайте запуск новых процессов, которые могут указывать на создание дампа учетных данных. В журналах Windows 8.1 и Windows Server 2012 R2 проверяйте, был ли процесс lsass.exe запущен как защищенный процесс. По возможности отслеживайте события Sysmon с идентификатором 1 и (или) события безопасности Windows с идентификатором 4688 на предмет активности процессов.

Примечание. В отличие от Procdump, в синтаксисе командной строки Rundll32/MiniDump вместо имени процесса, дамп которого нужно создать, используется его идентификатор. И поскольку идентификатор процесса LSASS является недетерминированным, обнаружение файла MiniDump не всегда указывает на создание дампа LSASS. Чтобы снизить количество ложных срабатываний, может потребоваться дополнительная настройка инструментов. Выполняя мониторинг функций DLL в командной строке, всегда проверяйте порядковый номер функции.

Аналитика 1. Procdump

(source=WinEventLog:"*Security" EventCode="4688") OR (source=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="1") AND Image="procdump*.exe" | where CommandLine LIKE "%lsass%"

Аналитика 2. Создание MiniDump через rundll32

(source=WinEventLog:"*Security" EventCode="4688") OR (source=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="1") AND Image="\*rundll32.exe" | where CommandLine LIKE "%comsvcs.dll MiniDump%" OR CommandLine="_comsvcs.dll,#24")

Отслеживайте взаимодействие нетипичных процессов с lsass.exe. Программы для создания дампа учетных данных, такие как Mimikatz, обращаются к этому процессу, определяют местоположение ключа секретов LSA и расшифровывают разделы памяти, в которых хранятся учетные данные. Такие программы также могут использовать методы отраженного внедрения кода в процессы, чтобы скрыть возможные индикаторы вредоносной активности.

Использование Procdump и диспетчера задач Windows для создания дампов LSASS может детектироваться на основании событий создания процессов, поскольку обе службы используют предсказуемый набор аргументов командной строки для указания на процесс, дамп которого нужно создать.

Примечание. События обращения к процессу в Sysmon (с идентификатором 10) могут генерировать большое количество ложных срабатываний. Чтобы сократить их число, требуется изменить файл конфигурации Sysmon. Рекомендуется использовать подход, аналогичный реализованному в проекте Sysmon Modular Configuration (https://github.com/olafhartong/sysmon-modular), и отфильтровывать безопасные процессы, которые генерируют много событий обращения к процессам.

Значение GrantedAccess в приведенной ниже аналитике использования Mimikatz выбрано исключительно для иллюстрации метода детектирования обращения Mimikatz к LSASS. В реальной среде значения GrantedAccess могут изменяться с выходом новых версий Mimikatz, поэтому специалистам по обнаружению следует всегда проверять актуальность значений GrantedAccess, используемых в аналитиках.

Аналитика 1. Mimikatz

(source=WinEventLog:"Microsoft-Windows-Sysmon/Operational" EventCode="10" AND TargetImage= "lsass.exe" AND (GrantedAccess=0x1410 OR GrantedAccess=0x1010 OR GrantedAccess=0x1438 OR GrantedAccess=0x143a OR GrantedAccess=0x1418) CallTrace="C:\windows\SYSTEM32\ntdll.dll+|C:\windows\System32\KERNELBASE.dll+20edd|UNKNOWN()")

Аналитика 2. Procdump

((sourceType=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="10") AND TargetImage= "*lsass.exe" AND SourceImage= "*procdump.exe")

Аналитика 3. Диспетчер задач Windows

((sourceType=WinEventLog:"*Microsoft-Windows-Sysmon/Operational" EventCode="10") AND TargetImage="*lsass.exe" AND SourceImage= "c:\windows*\taskmgr.exe")

Чтобы избежать дублирования учетных данных в разных учетных записях и системах, научите пользователей и администраторов не использовать один и тот же пароль для нескольких учетных записей.

В Windows 8.1 и Windows Server 2012 R2 включите функцию Protected Process Light для LSA.

Не включайте учетные записи пользователей или администраторов домена в группы локальных администраторов на всех системах, если они не находятся под строгим контролем, так как это часто эквивалентно наличию учетной записи локального администратора с одинаковым паролем на всех системах. Следуйте передовым методам разработки и администрирования корпоративной сети, чтобы ограничить использование привилегированных учетных записей на всех административных уровнях.

Проследите, чтобы учетные записи локальных администраторов на всех системах в сети имели сложные уникальные пароли.

По возможности отключите или ограничьте NTLM. По возможности отключите аутентификацию WDigest.

Включите правила Attack Surface Reduction (ASR) в Windows 10 для защиты LSASS и предотвращения кражи учетных данных .

В Windows 10 компания Microsoft внедрила новое средство защиты под названием Credential Guard для защиты секретов LSA, которые могут быть использованы для получения учетных данных с помощью форм сброса учетных данных. Оно не настроен по умолчанию и имеет системные требования к аппаратному обеспечению и прошивке системы. Оно также защищает не от всех форм дампинга учетных данных.