Экспертиза MaxPatrol SIEM

Отслеживайте необычные изменения в именах файлов, которые вызывают несоответствие между именами на диске и в метаданных PE соответствующих бинарных файлов. Подобные изменения с большой вероятностью указывают на то, что бинарный файл был переименован после компиляции.

Примечание. По умолчанию в Windows нет событий, регистрирующих изменение файлов. Но событие с ИД 4663 (попытка получения доступа к объекту) можно использовать для аудита и уведомления о попытках доступа к бинарным файлам системных утилит. Поле "Accesses" можно использовать для фильтрации по типам доступа (например, MODIFY или DELETE).

Отслеживайте на диске файлы, имена которых не соответствуют метаданным PE, так как это с большой вероятностью указывает на то, что бинарный файл был переименован после компиляции.

Отслеживайте недавно созданные службы и демоны. Рекомендуется рассматривать события и данные не обособленно, а как связанные элементы цепочки, которые могут привести к другой вредоносной активности, например, подключению к командному серверу, изучению окружения посредством соответствующих техник и перемещению внутри периметра.

Отслеживайте нетипичные изменения в именах, описаниях и (или) типах запуска служб.

Отслеживайте аномальное создание фоновых процессов, а также запуск процессов из нетипичных расположений, например /dev/shm.

Собирайте и анализируйте метаданные сертификатов подписи, проверяйте, действительны ли подписи программ, выполняемых в среде, и обращайте внимание на недействительные подписи и нетипичные особенности сертификатов.

Отслеживайте неожиданные изменения в запланированных заданиях, касающиеся их запуска.

Отслеживайте выполнение команд с аргументами, которые могут использоваться для переименования легитимных системных утилит с целью обхода защитных механизмов, контролирующих использование этих утилит.

Отслеживайте такие вызовы API, как fork(), которые могут использоваться для маскировки или изменения метаданных процесса.

Сбор и сравнение имен бинарных файлов на диске и в ресурсах и последующее сравнение значений InternalName, OriginalFilename и (или) ProductName с ожидаемыми могут принести полезную информацию, но несоответствие этих значений не всегда свидетельствует о вредоносной активности .

Отслеживайте контекстные данные запланированного задания, такие как имя, время запуска и команды.

В Windows для оповещения о создании запланированных заданий можно использовать событие журнала безопасности с идентификатором 4698 (создано запланированное задание), которое содержит метаданные, включая имя задания и его содержимое (в формате XML).

В Linux для оповещений о вызове cron можно использовать механизмы аудита, например систему аудита Linux (auditd), которая предоставляет метаданные, включаемые при выполнении команды.

Научите пользователей обращать внимание на двойные расширения в именах файлов и в целом повышайте их осведомленность о распространенных техниках фишинга и целевого фишинга, а также о том, как распознавать потенциально вредоносные действия.

Используйте элементы управления доступом к файловой системе для защиты таких папок, как C:\Windows\System32.

Используйте инструменты, ограничивающие выполнение программ через управление приложениями по атрибутам, отличным от имени файла, для распространенных необходимых утилит операционной системы.

Внедрите средства контроля безопасности на конечной точке, такие как система предотвращения вторжений на хост (HIPS), для выявления и предотвращения выполнения потенциально вредоносных файлов (например, файлов с несовпадающими подписями).

Требуйте подписанные бинарные файлы.

Антивирус может использоваться для автоматического помещения подозрительных файлов в карантин.