Windows 威胁

支持范围：

本文档简要介绍了 Windows 威胁类别中的规则集、所需的数据源，以及可用于调整这些规则集生成的提醒的配置。

这些规则集通过检测和提醒为您提供可立即采取行动的情境，指明应从端点提醒数据中进一步调查的内容。它们有助于增强安全事件监控和分类能力，使您能够将注意力集中在恶意且可采取行动的提醒以及案例（提醒集合）上。这些精选分析可让您优先响应端点提醒、为调查提供更多背景信息，并使用端点日志改进安全性事件监控。

“Windows 威胁”类别中的规则集有助于使用端点检测和响应 (EDR) 日志识别 Microsoft Windows 环境中的威胁。此类别包含以下规则集：

  • 异常 PowerShell：识别包含混淆技术或其他异常行为的 PowerShell 命令。
  • 加密货币活动：与可疑加密货币相关的活动。
  • Hacktool：可免费获取的工具，可能被视为可疑工具，但也可能是合法工具，具体取决于组织的使用情况。
  • 信息窃取程序：用于窃取凭证（包括密码、Cookie、加密货币钱包和其他敏感凭证）的工具。
  • 初始访问：用于在具有可疑行为的机器上获得初始执行权限的工具。
  • 合法但被滥用：已知被滥用于恶意目的的合法软件。
  • 离地攻击 (LotL) 二进制文件：Microsoft Windows 操作系统内置的工具，威胁行为者可能会出于恶意目的滥用这些工具。
  • 具名威胁：与已知威胁行为者相关的行为。
  • 勒索软件：与勒索软件相关的活动。
  • RAT：用于提供对网络资产的远程命令与控制的工具。
  • 安全状况降级：试图停用安全工具或降低其有效性的活动。
  • 可疑行为：一般可疑行为。
  • Mandiant 一线威胁：此规则集包含源自 Mandiant 对全球活跃突发事件的调查和响应的规则。这些规则涵盖常见的 TTP，例如通过脚本解释器执行 (T1059)、用户执行 (T1204) 和系统二进制代理执行 (T1218)。
  • Mandiant Intel Emerging Threats：此规则集包含源自 Mandiant Intelligence Campaigns 和 Significant Events 的规则，这些规则涵盖了 Mandiant 评估的影响力极高的地缘政治和威胁活动。此类活动可能包括地缘政治冲突、漏洞利用、钓鱼式攻击、恶意广告、勒索软件和供应链入侵。
  • Alert Prioritization for Endpoints：此规则集利用了之前在 Mandiant Automated Defense - Alert, Investigation & Prioritization 产品中提供的功能。此规则集可识别如下模式：
    • 攻击进展：内部资产表现出多种入侵迹象，综合考虑这些迹象，系统被入侵的可能性增加，因此应进行调查。
    • 内部资产上的恶意软件：内部资产显示恶意软件已到达文件系统且应进行调查的迹象。攻击者通常会在成功利用漏洞后在文件系统上暂存恶意代码。
    • 未经授权的黑客工具：内部资产表现出漏洞利用工具活动，表明系统遭到入侵。漏洞利用工具是公开提供的软件或黑客工具，可用于获取和扩大对系统的访问权限，攻击者和红队都会使用这些工具。如果系统或账号未明确授权使用这些工具，则应调查这些工具的使用情况。
    • 异常进程行为：内部资产中以异常方式使用常见可执行文件，这是主机遭到入侵的强烈信号。应调查异常“离地攻击”行为的发生情况。

Mandiant Intel Emerging Threats 规则集和 Alert Prioritization for Endpoints 规则集可通过 Google Security Operations 企业 Plus 版许可获取。

支持的设备和日志类型

本部分列出了每个规则集所需的数据。

“Windows 威胁”类别中的规则集已经过测试，并受以下 Google SecOps 支持的 EDR 数据源支持：

  • Carbon Black (CB_EDR)
  • Microsoft Sysmon (WINDOWS_SYSMON)
  • SentinelOne CF (SENTINELONE_CF)
  • SentinelOne EDR (SENTINEL_EDR)
  • Crowdstrike Falcon (CS_EDR)

我们正在针对以下 Google SecOps 支持的 EDR 数据源测试和优化“Windows 威胁”类别中的规则集：

  • Tanium
  • Cybereason EDR (CYBEREASON_EDR)
  • Lima Charlie (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

如果您使用其他 EDR 软件收集端点数据，请与您的 Google SecOps 代表联系。

如需查看 Google SecOps 支持的所有数据源的列表，请参阅支持的默认解析器。

“Windows 威胁”类别所需的必填字段

以下部分介绍了 Windows 威胁类别中的规则集所需的特定数据，以便获得最大优势。确保您的设备已配置为将以下数据记录到设备事件日志中。

  • 事件时间戳
  • 主机名：运行 EDR 软件的系统的主机名。
  • 主进程：当前正在记录的进程的名称。
  • 主进程路径：当前运行进程在磁盘上的位置（如有）。
  • Principal Process Command Line：进程的命令行参数（如果有）。
  • 目标进程：由主体进程启动的衍生进程的名称。
  • 目标进程路径：目标进程在磁盘上的位置（如有）。
  • 目标进程命令行：目标进程的命令行参数（如有）。
  • 目标进程 SHA256\MD5：目标进程的校验和（如果有）。这用于调整提醒。
  • 用户 ID：主体进程的用户名。

“端点警报优先级排序”规则集

此规则集已通过以下 Google SecOps 支持的 EDR 数据源进行了测试：

  • Microsoft Defender for Endpoint 条来自 MICROSOFT_GRAPH_ALERT log_type 的提醒
  • SentinelOne Threats（来自 SENTINELONE_ALERT log_type）
  • 来自 CS_EDR log_type 的 CrowdStrike Falcon Event_DetectionSummaryEvent 提醒

端点提醒优先级划分中使用的 UDM 字段

以下部分介绍了“Alert Prioritization for Endpoints”规则集所需的 UDM 字段数据。如果您通过创建自己的自定义解析器来修改默认解析器，请确保不要更改这些字段的映射。如果您更改这些字段的映射方式，可能会影响此功能的行为。

UDM 字段名称 说明
metadata.event_type 标准化的事件类型。
metadata.product_name 商品名称。
security_result.detection_fields["externall_api_type"] 用于过滤感兴趣事件的字段。
security_result.threat_name 供应商分配的威胁分类，例如恶意软件系列。
security_result.category_details 供应商特定的恶意软件类别
security_result.summary 提醒的摘要。
security_result.rule_name 供应商提供的提醒名称。
security_result.attack_details 用于识别 Mitre ATT&CK 策略和技术。
security_result.description 对提醒的简短说明。
security_result.action 控制措施采取的操作。
principal.process.file.names 正在运行的进程的文件名。
principal.process.file.full_path 当前运行进程在磁盘上的位置（如果有）。
principal.process.command_line 进程的命令行参数（如有）。
principal.asset.hostname 运行 EDR 软件的系统的主机名。
principal.hostname 运行 EDR 软件的系统的主机名。
principal.user.userid 主进程的用户名。
target.file.full_path 主账号正在与之交互的文件的名称。
target.file.md5/sha256 目标文件的校验和（如果有）。

“Windows 威胁”类别返回的调整提醒

您可以使用规则排除项来减少规则或规则集生成的检测数量。

规则排除项定义了用于排除事件的标准，使其不被规则集或规则集中的特定规则评估。创建一项或多项规则排除项，以帮助减少检测数量。如需了解详情，请参阅配置提醒抑制。

例如，您可以根据以下信息排除事件：

  • principal.hostname
  • principal.process.command_line
  • principal.user.userid

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。