Экспертиза MaxPatrol SIEM

Отслеживайте выполнение команд с аргументами, которые могут использоваться для создания или изменения задач. Для создания задач также могут применяться системные средства администрирования, такие как инструментарий управления Windows и PowerShell, поэтому для сбора данных об использовании этих средств рекомендуется настроить дополнительные функции журналирования.

Отслеживайте создание запланированных заданий. Если закрепление не является целью выполнения запланированных задач, злоумышленники, вероятнее всего, удалят такие задачи после выполнения нужных действий. В Windows включите параметр Microsoft > Windows > TaskScheduler > Operational в службе журнала событий, после чего будут регистрироваться различные события, связанные с выполнением запланированных заданий:

• события с идентификатором 106 в Windows 7, Server 2008 R2: запланированное задание зарегистрировано;
• события с идентификатором 4698 в Windows 10, Server 2016: запланированное задание создано;
• события с идентификатором 4700 в Windows 10, Server 2016: запланированное задание включено;
• события с идентификатором 4701 в Windows 10, Server 2016: запланированное задание отключено.

Кроме того, можно использовать инструменты, такие как Sysinternals Autoruns, для обнаружения действий, которые могут указывать на попытку закрепиться в системе, например получения списка текущих запланированных заданий .

Отслеживайте необычные потоки сетевых данных. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными. Если для удаленного планирования задач используется программа at.exe, то для обращения к API на удаленном компьютере Windows использует именованные каналы поверх SMB. После аутентификации с помощью SMB открывается именованный канал ATSVC, через который вызывается функция JobAdd. На удаленном узле планировщиком задач создаются файлы заданий по шаблону C:\Windows\System32\AT<идентификатор_задания>.

Такую активность каналов можно обнаружить с помощью сетевого декодера, например Wireshark, который может анализировать SMB-трафик на предмет использования каналов. Ее также можно обнаружить, отслеживая захваченные потоки пакетов в необработанном виде или с помощью специально разработанного датчика на узле, перехватывающего соответствующие функции API. Если сетевой или API-уровень видимости невозможен, этот трафик можно определить, отслеживая SMB-соединения через порт 445/TCP с последующим созданием файлов по шаблону C:\Windows\System32\AT<идентификатор_задания>.

Для обнаружения at через сетевой трафик необходим датчик, способный извлекать и декодировать данные PCAP. В частности, он должен правильно декодировать данные SMB и функции, реализованные через именованные каналы. Если датчик соответствует этим критериям, то в данных PCAP необходимо найти экземпляры команды JobAdd через канал ATSVC, реализуемый поверх SMB Windows через порт 445/TCP.

Аналитика 1. Задачи, запланированные удаленно через at

source="Zeek:" (dest_port=445 AND proto_info.pipe="ATSVC") AND (proto_info.function="JobAdd")

Отслеживайте создание процессов с командными строками, которые создают или изменяют задачи или запускаются из задач. Например, в Windows задачи могут запускаться процессом svchost.exe или, в более старых версиях ОС, через Планировщик заданий taskeng.exe . При сопоставлении запущенных задач с историческими данными можно выявить новые, подозрительные процессы, запущенные через планировщик заданий. Наличие запущенных экземпляров at.exe указывает на создание или опрашивание задач. Хотя аналитика будет работать и без извлечения командной строки, оно потребуется для идентификации запланированных команд.

Аналитика 1. Планировщик заданий Windows

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") Image="*at.exe"

В Windows отслеживайте в хранилищах планировщика заданий Windows в %systemroot%\System32\Tasks изменения в запланированных задачах, особенно не связанные с известным ПО, циклами выпуска исправлений и другой легитимной активностью. В Linux и macOS все задания at хранятся в каталоге /var/spool/cron/atjobs/.

Настройте параметры запланированных задач так, чтобы они запускались в контексте аутентифицированной учетной записи, а не от имени SYSTEM. Соответствующий ключ реестра: HKLM\SYSTEM\CurrentControlSet\Control\Lsa\SubmitControl. Этот параметр можно настроить с помощью GPO: Конфигурация компьютера > [Политики] > Параметры Windows > Параметры безопасности > Локальные политики > Параметры безопасности > Контроллер домена: разрешить операторам сервера задавать выполнение заданий по расписанию > Отключен .

Такие наборы инструментов, как фреймворк PowerSploit, содержат модули PowerUp — с их помощью можно исследовать системы на предмет слабых мест в разрешениях запланированных задач, которые могут быть использованы для повышения привилегий . Операционная система Windows также создает ключ реестра, связанный с созданием запланированной задачи на целевом узле: Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\At1 . В средах Linux и macOS запланированные задачи с использованием at могут быть проверены локально или через централизованный журнал, используя syslog или события auditd с хоста .

Ограничьте привилегии пользователей и устраните способы повышения уровня привилегий, чтобы только авторизованные администраторы могли создавать запланированные задачи в удаленных системах. В среде Linux доступ пользователей к утилите at можно настроить с помощью файлов at.allow и at.deny. Пользователи, перечисленные в файле at.allow, могут планировать задачи с помощью утилиты at, а пользователям в файле at.deny доступ к ней запрещен.

Настройте параметр Increase Scheduling Priority, чтобы только группа администраторов имела право планировать приоритетный процесс. Это можно настроить через GPO: Конфигурация компьютера > [Политики] > Конфигурация Windows > Параметры безопасности > Локальные политики > Назначение прав пользователя > Увеличение приоритета выполнения .