Экспертиза MaxPatrol SIEM

Собирайте хеши файлов: расхождения хешей с ожидаемыми для файлов свидетельствуют о подозрительной активности. Проводите мониторинг файлов. Файлы с известными именами, расположенные в нетипичных для них каталогах, стоит считать подозрительными. Файлы, измененные не во время обновления или исправления, также стоит считать подозрительными.

Отслеживайте запуск новых процессов, которые при именовании или размещении файлов используют имена или пути, совпадающие с именами или расположением легитимных файлов или ресурсов либо напоминающие их. Отслеживайте несоответствия между именами процессов и путями к исполняемым файлам. Для маскировки вредоносных исполняемых файлов злоумышленники часто используют имена легитимных исполняемых файлов Windows (например, lsass.exe, svchost.exe и другие). Несмотря на существование нескольких подтехник, в данной аналитике рассматривается исключительно Подбор легитимного имени или расположения.

Примечание. Отслеживайте процессы, соответствующие следующим критериям:

• имя процесса: svchost.exe, smss.exe, wininit.exe, taskhost.exe и аналогичные
• путь процесса отличается от C:\Windows\System32\ и C:\Windows\SysWow64\

Примеры истинноположительных результатов: C:\Users\administrator\svchost.exe

Чтобы правило не пропускало случаи запуска исполняемых файлов из подпапок, расположенных в указанных каталогах, должен проверяться весь путь процесса. Следующий путь процесса должен рассматриваться как подозрительный: C:\Windows\System32\srv\svchost.exe

Аналитика 1. Маскировка с использованием имен стандартных процессов Windows

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") AND ( (Image=svchost.exe AND (image_path!="C:\Windows\System32\svchost.exe" OR process_path!="C:\Windows\SysWow64\svchost.exe")) OR (Image="*smss.exe" AND image_path!="C:\Windows\System32\smss.exe") OR (Image="wininit.exe" AND image_path!="C:\Windows\System32\wininit.exe") OR (Image="taskhost.exe" AND image_path!="C:\Windows\System32\taskhost.exe") OR (Image="lasass.exe" AND image_path!="C:\Windows\System32\lsass.exe") OR (Image="winlogon.exe" AND image_path!="C:\Windows\System32\winlogon.exe") OR (Image="csrss.exe" AND image_path!="C:\Windows\System32\csrss.exe") OR (Image="services.exe" AND image_path!="C:\Windows\System32\services.exe") OR (Image="lsm.exe" AND image_path!="C:\Windows\System32\lsm.exe") OR (Image="explorer.exe" AND image_path!="C:\Windows\explorer.exe")

В контейнерных средах для сравнения образов используйте идентификаторы образов и хеши слоев, а не только их имена. Отслеживайте неожиданное создание новых ресурсов в кластере Kubernetes, особенно тех, которые создаются необычными пользователями.

Сбор и сравнение имен бинарных файлов на диске и в ресурсах и последующее сравнение значений InternalName, OriginalFilename и (или) ProductName с ожидаемыми могут служить источником полезной информации, но несоответствие этих значений не всегда свидетельствует о вредоносной активности.

Используйте элементы управления доступом к файловой системе для защиты таких папок, как C:\Windows\System32.

Используйте инструменты, ограничивающие выполнение программ через управление приложениями по атрибутам, отличным от имени файла, для распространенных необходимых утилит операционной системы.

Используйте только подписанные бинарные файлы и образы.