Экспертиза MaxPatrol SIEM

Отслеживайте в сетевых данных необычные потоки данных SMB. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными. С помощью фреймворков сетевого анализа, таких как Zeek, можно настроить запись, декодирование и уведомление о сетевых потоках SMB.

Примечания:

• Логика реализации 1 основывается на обнаружении в протоколе SMB запросов на запись, которые часто используются злоумышленниками для перемещения на другой узел. В отличие от запросов на чтение в SMB, запросы на запись обычно требуют дополнительного уровня доступа, поэтому они встречаются реже. Фокусирование на операциях записи SMB позволяет сузить область поиска и отслеживать техники, связанные с активным внесением изменений в удаленные узлы, а не с пассивным чтением файлов.
• Логика реализации 2 основывается на обнаружении новых процессов, которые были созданы из файлов, сохраненных на SMB-ресурс. Сначала файл удаленно записывается на узел через SMB-ресурс, после чего могут использоваться различные техники удаленного запуска этого файла или сценария. Чтобы обнаружить такое поведение, отслеживайте файлы, которые записываются на узел через SMB, а затем запускаются непосредственно как процесс или через аргументы командной строки. Запись файлов SMB и удаленное выполнение могут быть обычным явлением в рабочей среде, но сочетание этих двух типов активности встречается реже и с большей вероятностью указывает на действия злоумышленников.

Аналитика 1. Запись SMB

source="*Zeek:SMB_Files" port="445" AND protocol="smb.write"

Отслеживайте создание сетевых соединений (обычно через порты 139 или 445), особенно с аномальными или недоверенными узлами. Сопоставляйте данные о соединениях с событиями удаленного входа и активностью, связанной с SMB, например передачей файлов и удаленным выполнением процессов.

Примечание. Идентификатор события рассчитан на Zeek, но его можно реализовать и в других фреймворках посредством анализа и декодирования сохраненного трафика SMB2. Лучше отслеживать событие smb2_write_response, а не smb2_write_request, так как это подтвердит, что запись файла была действительно выполнена на удаленный сервер. К сожалению, в Bro/Zeek на данный момент нет события для такого типа сообщений SMB. Важно захватить именно тот сетевой трафик, который требуется для работы данного типа обнаружения (например, между конечными устройствами, или от рабочей станции до сервера, или между рабочими станциями). В таком случае полезно создать централизованную часть сервера для отслеживания соединений между серверами и конечными устройствами.

Аналитики 1 и 2 похожи, но основное отличие второй версии заключается в том, что она предназначена для обнаружения нескольких попыток перемещения внутри периметра между узлами за короткий промежуток времени (5 минут).

• Отслеживаются события smb2_write_request и smb1_write_andx_response, указывающие на то, что файл SMB записан в общие административные папки Windows: ADMIN$ или C$.

• Отслеживаются события smb2_tree_connect_request и smb1_tree_connect_andx_request, исходящие с одного узла, независимо от попыток записи и успешности соединения (фиксируются только сами попытки) в течение указанного времени, если события повторяются хотя бы 5 раз за 5 минут с одного src_ip.

Важно захватить именно тот сетевой трафик, который требуется для работы данного типа обнаружения (например, между конечными устройствами, или от рабочей станции до сервера, или между рабочими станциями). С учетом этого может быть полезно иметь централизованную часть сервера, в которой можно было бы отслеживать соединения между серверами и конечными устройствами. С помощью диспетчера управления службами (SCM) файл может быть скопирован в общую папку ADMIN$ и выполнен как служба. Данные действия можно отследить путем обнаружения входящих сетевых соединений RPC с диспетчером управления службами, вслед за которыми services.exe создает дочерний процесс.

Аналитика 1. Базовый source="*Zeek:SMB_Files" EventCode IN ("smb2_write_request", "smb1_write_andx_response", "smb2_tree_connect_request", "smb1_tree_connect_andx_request") AND (Path="ADMIN$" OR Path="C$")

Отслеживайте создание класса WMI Win32_Process и метода Create, которые могут использоваться для взаимодействия с удаленным сетевым ресурсом по протоколу Server Message Block (SMB). Соответствующие им индикаторы, обнаруженные с помощью фреймворка Bro/Zeek, — IWbemServices::ExecMethod или IWbemServices::ExecMethodAsync. Следует отметить, что на удаленных системах метод Create выполняется от имени системного процесса WmiPrvSE.exe.

Процесс WmiPrvSE.exe порождает другой процесс, указанный в параметре CommandLine метода Create. Следовательно, WmiPrvSE.exe является родительским процессом для нового процесса, запущенного на удаленной системе. WmiPrvSE.exe является DCOM-сервером, запущенным на узле службы DCOM с параметрами C:\WINDOWS\system32\svchost.exe -k DcomLaunch -p. С точки зрения пользовательских сеансов на целевой системе WmiPrvSE.exe порождается узлом службы DCOM в рамках нового сеанса входа в систему. При этом WmiPrvSE.exe запускает все процессы в рамках нового сетевого сеанса (3), созданного пользователем, который аутентифицировался через сеть.

Аналитика 1. Базовый

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") AND ParentImage="*wmiprvse.exe" AND TargetLogonID="0x3e7"

Отслеживайте взаимодействие с сетевыми папками (например, чтение или передачу файлов) по протоколу Server Message Block (SMB).

Отслеживайте попытки входа в систему (например, события с идентификатором 4624, тип входа 3), при которых существующие учетные записи используются для взаимодействия с удаленным сетевым ресурсом по протоколу Server Message Block (SMB). После этого злоумышленники смогут выполнять действия от имени вошедшего в систему пользователя. Проследите, чтобы велось надлежащее централизованное журналирование учетных записей, используемых для входа в систему. С помощью журналирования Windows можно собирать информацию об успешных и неуспешных попытках входа для учетных записей, которые злоумышленники могут использовать для перемещения внутри сети. Эти данные можно собирать с помощью различных инструментов, таких как переадресация событий Windows .

Отслеживайте выполнение команд с аргументами, которые могут использоваться для подключения к удаленным общим ресурсам, например net, через командную строку, а также применение техник изучения для поиска систем с удаленным доступом.

Примечание. При запуске блоков сценариев PowerShell в журнале Microsoft-Windows-Powershell/Operational генерируется событие с идентификатором 4104, в которое записывается содержимое этих блоков; при анализе этих событий можно обнаружить установленные подключения и события записи в удаленных каталогах.

По возможности отключите административные ресурсы Windows.

По возможности используйте межсетевой экран хоста для ограничения обмена файлами, в частности через SMB .

Не используйте пароли учетных записей локальных администраторов в разных системах. Обеспечьте сложность и уникальность паролей, чтобы их нельзя было взломать или угадать.

Запретите удаленное использование учетных данных локального администратора для входа в систему. Не разрешайте учетным записям пользователей домена находиться в локальной группе "Администраторы" в нескольких системах.