Amenazas de Windows

Compatible con:

En este documento, se proporciona una descripción general de los conjuntos de reglas de la categoría Amenazas de Windows, las fuentes de datos requeridas y la configuración que puedes usar para ajustar las alertas que generan estos conjuntos de reglas.

Estos conjuntos de reglas te proporcionan un contexto que permite tomar medidas de inmediato, a través de detecciones y alertas, lo que indica qué se debe investigar más a partir de los datos de alertas de extremos. Ayudan a mejorar la supervisión de eventos de seguridad y la capacidad de clasificación, lo que te permite enfocar tu atención en las alertas y los casos (colecciones de alertas) que son maliciosos y requieren medidas. Estas estadísticas seleccionadas te permiten priorizar la respuesta a las alertas de extremos, proporcionar contexto adicional para las investigaciones y mejorar la supervisión de eventos de seguridad con los registros de extremos.

Los conjuntos de reglas de la categoría Amenazas de Windows ayudan a identificar amenazas en entornos de Microsoft Windows con registros de detección y respuesta de extremos (EDR). Esta categoría incluye los siguientes conjuntos de reglas:

  • PowerShell anómalo: Identifica los comandos de PowerShell que contienen técnicas de ofuscación u otro comportamiento anómalo.
  • Actividad de criptomonedas: Es la actividad asociada con criptomonedas sospechosas.
  • Herramienta de hackeo: Es una herramienta disponible de forma gratuita que puede considerarse sospechosa, pero que puede ser legítima según el uso que le dé la organización.
  • Ladrón de información: Herramientas que se usan para robar credenciales, incluidas contraseñas, cookies, billeteras cripto y otras credenciales sensibles.
  • Acceso inicial: Herramientas que se usan para obtener la ejecución inicial en una máquina con comportamiento sospechoso.
  • Legítimo, pero con uso inadecuado: Software legítimo que se sabe que se usa de forma inadecuada con fines maliciosos.
  • Binarios de Living off the Land (LotL): Son herramientas integradas en los sistemas operativos Microsoft Windows que los agentes de amenazas pueden usar con fines maliciosos.
  • Amenaza con nombre: Comportamiento asociado con un agente de amenazas conocido.
  • Ransomware: Actividad asociada con ransomware.
  • RAT: Son herramientas que se usan para proporcionar comando y control remotos de los recursos de red.
  • Cambio a una postura de seguridad inferior: Actividad que intenta inhabilitar o disminuir la eficacia de las herramientas de seguridad.
  • Comportamiento sospechoso: Comportamiento sospechoso general.
  • Amenazas de primera línea de Mandiant: Este conjunto de reglas contiene reglas derivadas de la investigación y respuesta de Mandiant ante incidentes activos en todo el mundo. Estas reglas abarcan TTP comunes, como la ejecución a través de intérpretes de secuencias de comandos (T1059), la ejecución del usuario (T1204) y la ejecución de proxy binario del sistema (T1218).
  • Amenazas emergentes de Mandiant Intel: Este conjunto de reglas contiene reglas derivadas de las campañas de inteligencia y los eventos significativos de Mandiant, que abarcan la actividad geopolítica y de amenazas de alto impacto, según la evaluación de Mandiant. Esta actividad puede incluir conflictos geopolíticos, explotación, phishing, malvertising, ransomware y vulneraciones de la cadena de suministro.
  • Priorización de alertas para extremos: Este conjunto de reglas utiliza la capacidad que se encontraba anteriormente en el producto Mandiant Automated Defense: Alerta, investigación y priorización. Este conjunto de reglas identifica patrones como los siguientes:
    • Progresión del ataque: Recursos internos que muestran varios indicios de vulneración que, cuando se consideran en conjunto, aumentan la probabilidad de que el sistema esté vulnerado y, por lo tanto, deba investigarse.
    • Malware en recursos internos: Recursos internos que muestran indicios de que el malware llegó al sistema de archivos y se debe investigar. Los atacantes suelen almacenar en etapa intermedia código malicioso en el sistema de archivos después de un intento de explotación exitoso.
    • Herramientas de hackeo no autorizadas: Recursos internos que muestran actividad de herramientas de explotación, lo que indica que el sistema está comprometido. Las herramientas de explotación son software o herramientas de hackeo disponibles públicamente que se pueden usar para obtener y ampliar el acceso a los sistemas y que usan tanto los atacantes como los equipos rojos. Se debe investigar la observación de estas herramientas si el uso no está autorizado de forma explícita por un sistema o una cuenta.
    • Comportamientos inusuales de los procesos: Los recursos internos en los que se usan ejecutables comunes de manera inusual son un indicador claro de un host comprometido. Se debe investigar la ocurrencia de comportamientos inusuales de "Living off the Land".

El conjunto de reglas de amenazas emergentes de Mandiant Intel y el conjunto de reglas de priorización de alertas para los extremos están disponibles con una licencia de Google Security Operations Enterprise Plus.

Dispositivos y tipos de registros compatibles

En esta sección, se enumeran los datos que requiere cada conjunto de reglas.

Los conjuntos de reglas de la categoría Amenazas de Windows se probaron y son compatibles con las siguientes fuentes de datos de EDR compatibles con Google SecOps:

  • Negro carbón (CB_EDR)
  • Microsoft Sysmon (WINDOWS_SYSMON)
  • SentinelOne CF (SENTINELONE_CF)
  • EDR de SentinelOne (SENTINEL_EDR)
  • Crowdstrike Falcon (CS_EDR)

Los conjuntos de reglas de la categoría Amenazas de Windows se están probando y optimizando para las siguientes fuentes de datos de EDR compatibles con Google SecOps:

  • Tanium
  • EDR de Cybereason (CYBEREASON_EDR)
  • Lima Charlie (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

Comunícate con tu representante de Google SecOps si recopilas datos de endpoints con un software de EDR diferente.

Para obtener una lista de todas las fuentes de datos compatibles con Google SecOps, consulta Analizadores predeterminados compatibles.

Campos obligatorios que necesita la categoría Amenazas de Windows

En la siguiente sección, se describen los datos específicos que necesitan los conjuntos de reglas de la categoría Amenazas de Windows para obtener el mayor beneficio. Asegúrate de que tus dispositivos estén configurados para registrar los siguientes datos en los registros de eventos del dispositivo.

  • Marca de tiempo del evento
  • Nombre de host: Es el nombre de host del sistema en el que se ejecuta el software de EDR.
  • Proceso principal: Es el nombre del proceso actual que se registra.
  • Ruta de acceso del proceso principal: Es la ubicación en el disco del proceso que se está ejecutando, si está disponible.
  • Línea de comandos del proceso principal: Son los parámetros de la línea de comandos del proceso, si están disponibles.
  • Proceso de destino: Es el nombre del proceso generado que inicia el proceso principal.
  • Ruta de acceso del proceso de destino: Es la ubicación en el disco del proceso de destino, si está disponible.
  • Línea de comandos del proceso de destino: Son los parámetros de la línea de comandos del proceso de destino, si están disponibles.
  • SHA256\MD5 del proceso de destino: Es la suma de comprobación del proceso de destino, si está disponible. Se usa para ajustar las alertas.
  • ID de usuario: Es el nombre de usuario del proceso principal.

Conjunto de reglas de priorización de alertas para extremos

Este conjunto de reglas se probó con las siguientes fuentes de datos de EDR compatibles con Google SecOps:

  • Microsoft Defender for Endpoint alertas del tipo de registro MICROSOFT_GRAPH_ALERT
  • SentinelOne Threats del log_type SENTINELONE_ALERT
  • Alertas de CrowdStrike Falcon Event_DetectionSummaryEvent del log_type CS_EDR

Campos de UDM que se usan en la priorización de alertas para extremos

En la siguiente sección, se describen los datos de campo de UDM que necesita el conjunto de reglas de Priorización de alertas para extremos. Si modificas el analizador predeterminado creando tu propio analizador personalizado, asegúrate de no cambiar la asignación de estos campos. Si cambias la forma en que se asignan estos campos,es posible que afectes el comportamiento de esta función.

Nombre del campo de UDM Descripción
metadata.event_type Es un tipo de evento normalizado.
metadata.product_name Es el nombre del producto.
security_result.detection_fields["externall_api_type"] Son los campos que se deben filtrar para los eventos de interés.
security_result.threat_name Es una clasificación de una amenaza asignada por el proveedor, como una familia de software malicioso.
security_result.category_details La categoría de malware específica del proveedor
security_result.summary Un resumen de la alerta.
security_result.rule_name Es un nombre de alerta que proporciona el proveedor.
security_result.attack_details Se usa para identificar las tácticas y técnicas de Mitre ATT&CK.
security_result.description Una descripción breve de la alerta.
security_result.action Es la acción que realiza el control.
principal.process.file.names Es el nombre del archivo del proceso en ejecución.
principal.process.file.full_path Es la ubicación en el disco del proceso en ejecución actual, si está disponible.
principal.process.command_line Son los parámetros de la línea de comandos del proceso, si están disponibles.
principal.asset.hostname Es el nombre de host del sistema en el que se ejecuta el software de EDR.
principal.hostname Es el nombre de host del sistema en el que se ejecuta el software de EDR.
principal.user.userid Es el nombre de usuario del proceso principal.
target.file.full_path Es el nombre del archivo con el que interactúa la principal.
target.file.md5/sha256 Es la suma de comprobación del archivo de destino, si está disponible.

Ajusta las alertas que devuelve la categoría Amenazas de Windows

Puedes reducir la cantidad de detecciones que genera una regla o un conjunto de reglas con las exclusiones de reglas.

Una exclusión de regla define los criterios que se usan para excluir un evento de la evaluación del conjunto de reglas o de reglas específicas del conjunto de reglas. Crea una o más exclusiones de reglas para ayudar a reducir el volumen de detecciones. Para obtener más información, consulta Configura la supresión de alertas.

Por ejemplo, puedes excluir eventos según la siguiente información:

  • principal.hostname
  • principal.process.command_line
  • principal.user.userid

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.