Endpunkt

Verwenden Sie die IBM Security QRadar Endpoint Content Extension, um die Linux®- und Windows-Endpunkte in Ihrer Einrichtung genau zu überwachen.

Wichtig: Um Inhaltsfehler in dieser Inhaltserweiterung zu vermeiden, halten Sie die zugehörigen DSMs auf dem neuesten Stand. DSMs werden im Rahmen der automatischen Aktualisierungen aktualisiert. Wenn keine automatischen Updates aktiviert sind, laden Sie die neueste Version der zugehörigen DSMs von IBM® Fix Central (https://www.ibm.com/support/fixcentral) herunter.

Die Endpunkt-Inhaltserweiterung enthält ein oder mehrere QRadar Pulse Dashboards. Weitere Informationen über QRadar Pulse Dashboards finden Sie unter QRadar Pulse app.

Konfigurieren Sie die Linux- und Windows-Endpunkte, die Sie für die Verwendung mit dieser Inhaltserweiterung überwachen möchten.

Endpunkt IBM Security QRadar

IBM Sicherheit QRadar Endpunkt 3.1.0

Die folgende Tabelle zeigt die neuen und aktualisierten Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 3.1.0.

Tabelle 1 Regeln in IBM Security QRadar Endpoint Content Extension 3.1.0
Typ Ihren Namen Beschreibung
Regel PowerShell Base64 Expression Verdächtige Befehle aufrufen Regel zur Erkennung von PS Base64 -Befehlen, z. B. IEX, invoke-expression und Invoke-Expression, basierend auf den Ereignis-IDs 4688 oder 4104 oder 1.
Regel PowerShell Expression Verdächtige Befehle aufrufen Regel zur Erkennung von PowerShell verdächtigen Invoke Expression-Befehlen im Klartext basierend auf den Ereignis-IDs 4688, 4104 und 1
Regel Ausführbare Datei, die aus dem Ordner AppData aufgerufen wird Das Verzeichnis AppData ist standardmäßig ausgeblendet, und der Inhalt dieses Verzeichnisses wird normalerweise nicht vom Benutzer geändert. Ausführbare Anwendungen, die über das App Data Directory ausgeführt werden, müssen überprüft werden, da dieses Verhalten häufig von bösartigen Akteuren genutzt wird.
Regel Ausführbar von C:Users\Public Eine ausführbare Datei, die von C:Users\Public aus ausgeführt wird, muss überprüft werden, da dieses Verhalten häufig von böswilligen Akteuren genutzt wird.
Regel PowerShell Kodierter Befehl Die Verschlüsselung von Befehlen wird häufig von böswilligen Akteuren verwendet, um ihre Aktivitäten zu verschleiern.
Regel PowerShell Umgehung der Ausführungsrichtlinie Die Umgehung der Ausführungsrichtlinie ist eine Technik, die häufig zur Umgehung der Ausführungsrichtlinie von PowerShell verwendet wird und sollte überprüft werden, da dieses Verhalten häufig von böswilligen Akteuren genutzt wird.
Regel PowerShell An Base64 Zeichenfolge Base 64 ist ein Verschlüsselungsschema und wird häufig von böswilligen Akteuren verwendet, um ihre Aktivitäten zu verschleiern.

(Zurück nach oben)

IBM Sicherheit QRadar Endpunkt 3.0.0

Die folgende Tabelle zeigt die neuen und aktualisierten Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 3.0.0.

Tabelle 2. Regeln in IBM Security QRadar Endpoint Content Extension 3.0.0
Typ Ihren Namen Beschreibung
Regel Möglicherweise bösartige Javascript-Datei, die über WScript aufgerufen wird Diese Regel wurde entwickelt, um die Ausführung einer JavaScript Datei mit Hilfe von Wscript zu erkennen. Dies ist eine bekannte Taktik, die von mehreren bösartigen Programmen wie SocGholish, Gootloader verwendet wird.
Regel Möglicherweise bösartige Javascript-Datei, die über CScript aufgerufen wird Diese Regel wurde entwickelt, um die Ausführung einer JavaScript Datei mit Hilfe von Cscript zu erkennen. Dies ist eine bekannte Taktik, die von mehreren bösartigen Programmen wie SocGholish, Gootloader verwendet wird.
Regel Potenzielle Sharepoint ToolShell CVE-2025-53770 Ausnutzung Damit soll die Erstellung einer WebShell erkannt werden, von der bekannt ist, dass sie bei der potenziellen Ausnutzung der Sharepoint ToolShell CVE-2025-53770 -Schwachstelle verwendet wird.
Regel Mögliche Sharepoint ToolShell CVE-2025-53770 Ausnutzung - Dateipfad Diese wurde entwickelt, um einen bestimmten Dateityp zu erkennen, der aus dem bekannten Dateipfad ausgeführt wird, der bei der Ausnutzung der Sharepoint ToolShell CVE-2025-53770 Sicherheitslücke verwendet wird. Dies könnte ein Indikator für eine Kompromittierung oder ein Teil eines internen Tests für diese Sicherheitslücke sein und erfordert weitere Untersuchungen.

(Zurück nach oben)

IBM Sicherheit QRadar Endpunkt 2.9.0

Die folgende Tabelle zeigt die neuen und aktualisierten Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 2.9.0.

Tabelle 3. Regeln in IBM Sicherheit QRadar Endpoint Content Extension 2.9.0
Typ Ihren Namen Beschreibung
Regel PowerShell Angriff herabstufen Diese Regel wird ausgelöst, wenn ein Angreifer PowerShell auf die Engine-Version 4 oder früher zurücksetzen könnte.
Regel Ausführbare Dateien werden in verdächtigem Ordner gestartet Die Regel wird ausgelöst, wenn eine verdächtige Ausführung in einem ungewöhnlichen Ordner entdeckt wird.
Regel MavInject Prozessinjektion Diese Regel wird ausgelöst, wenn eine Prozessinjektion mit dem Windows-Tool MavInject über den Prozessnamen oder einen Befehlszeilenparameter erkannt wird.
Regel Rubeus Hack Tool Ausführung Diese Regel wird ausgelöst, wenn die Ausführung des Hack-Tools Rubeus über Prozessnamen oder Befehlszeilenparameter erkannt wird.
Regel Bösartiges benanntes Rohr Diese Regel wird ausgelöst, wenn die Erstellung einer oder die Verbindung zu einer benannten Pipe, die von bekannter Malware verwendet wird, erkannt wird.
Regel Ping Hex IP Diese Regel wird ausgelöst, wenn festgestellt wird, dass der Befehl ping mit einer IP-Adresse in hexadezimaler Form ausgeführt wurde.
Regel Neuer RUN-Schlüssel, der auf einen verdächtigen Ordner zeigt Diese Regel wird ausgelöst, wenn ein Ausführungsschlüssel in der Registrierung für den Windows Explorer erstellt wird, der auf einen verdächtigen Ordner verweist.
Regel Hinzufügen der SID-Historie zum Active Directory Objekt Diese Regel wird ausgelöst, wenn ein SID-History-Attribut zu einem Active Directory Objekt hinzugefügt wird.
Regel Potenzielle LSASS.exe Credential Dumping Aktivität Diese Regel wird ausgelöst, wenn SAM_DOMAIN-Zugriff durch die Datei LSASS.exe entdeckt wird, was auf Aktivitäten wie Credential Dumping hinweist.
Regel Bösartige PowerShell Commandlets Diese Regel wird ausgelöst, wenn die Ausführung eines PowerShell Commandlet von einem bekannten PowerShell Exploit-Framework erkannt wird.
Regel PowerShell Aufgerufen von einer nicht übereinstimmenden ausführbaren Version Diese Regel erkennt, wenn PowerShell von einer beliebigen ausführbaren Datei aufgerufen wird, indem sie die Versionen von Host und Engine vergleicht.
Regel Sicherungskatalog Gelöscht Diese Regel wird ausgelöst, wenn ein Befehl zum Löschen des Sicherungskatalogs ausgeführt wird, der auf dem lokalen Computer gespeichert ist.
Regel Zugang zu Browser-Anmeldedaten Diese Regel wird ausgelöst, wenn die gespeicherten Anmeldedaten (wie Benutzernamen und Kennwörter) von Webbrowsern angezeigt oder abgerufen werden. Die Regel könnte auf einen Angreifer hindeuten, der Anmeldeinformationen von Webbrowsern durch das Lesen der für den Zielbrowser spezifischen Dateien erlangt.
Regel Java läuft mit Remote-Debugging Diese Regel wird ausgelöst, wenn ein Java-Prozess mit aktiviertem Remote-Debugging läuft und Verbindungen von anderen Quellen als dem lokalen Host zulässt.
Regel Potenzielle Erkundung nach zwischengespeicherten Anmeldeinformationen über Cmdkey.exe Diese Regel wird ausgelöst, wenn die Verwendung von cmdkey zur Suche nach zwischengespeicherten Anmeldeinformationen auf dem System erkannt wird. Die Regel könnte darauf hinweisen, dass ein Angreifer versucht, auf zwischengespeicherte Domänenanmeldeinformationen zuzugreifen, um die Authentifizierung zu ermöglichen, falls ein Domänencontroller nicht verfügbar ist.
Hinweis: Standardmäßig ist die Regel deaktiviert, da cmdkey für legitime administrative Aufgaben verwendet werden kann. Aktivieren Sie diese Regel, wenn Sie die Befehlszeilennutzung identifizieren möchten, die auf die Erkundung von zwischengespeicherten Anmeldeinformationen hinweist.
Regel Installation der DHCP Callout DLL Diese Regel wird ausgelöst, wenn die Installation einer Callout-DLL über den Parameter CalloutDlls und CalloutEnabled in der Registry erkannt wird. Die Regel könnte die Verwendung von CalloutDlls anzeigen, um Code im Kontext des DHCP-Servers auszuführen.
Regel Active Directory Benutzer-Backdoor Diese Regel erkennt, wenn ein Benutzer ein anderes Konto kontrollieren könnte, ohne die Anmeldedaten des Zielkontos anzugeben.
Regel PowerShell Datei herunterladen und ausführen Diese Regel wird ausgelöst, wenn ein PowerShell-Befehl eine Remote-Datei herunterlädt und ausführt.
Regel NTDS.dit Aktivität zum Abrufen von Hash-Werten Diese Regel wird ausgelöst, wenn ein verdächtiger Befehl mit dem Versuch in Verbindung steht, Hashes aus der Datei NTDS.dit abzurufen.
Regel InvisiMole Wrapper DLL wird geladen Diese Regel wird ausgelöst, wenn eine Prozessaktivität erkannt wird, die mit dem InvisiMole-Lader verbunden ist.
Baustein BB:BehaviorDefinition: Beliebige Skript-Ausführung über Diskshadow.exe oder Vshadow.exe Der Baustein wird ausgelöst, wenn entweder die diskshadow.exe oder vshadow.exe Datei mit einem Parameter gestartet wird, um ein beliebiges Skript auszuführen. Der Baustein könnte auf einen böswilligen Versuch hinweisen, auf sensible Dateien wie NTDS.dit zuzugreifen.
Baustein BB:BehaviorDefinition: Auflistung der Netzwerkverbindung über Get-NetTCPConnection Der Building Block wird ausgelöst, wenn eine Abfrage von Informationen über das Netz eine Liste von Netzverbindungen erzeugt.
Baustein BB:BehaviorDefinition: PowerShell Datei-Download-Aktivität Der Building Block erkennt, wenn PowerShell zum Herunterladen von Dateien verwendet wird.

Die folgende Tabelle zeigt die benutzerdefinierten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.9.0.

Tabelle 4. Benutzerdefinierte Eigenschaften in IBM Sicherheit QRadar Endpoint Content Extension 2.9.0
Ihren Namen Optimiert Gefunden in
SID-Geschichte TRUE Microsoft Windows
Motorversion TRUE Microsoft Windows
Delegierung FALSCH Microsoft Windows
Objektklasse FALSCH Microsoft Windows
LDAP-Anzeigename FALSCH Microsoft Windows
Host-Version TRUE Microsoft Windows
Pipe Name (Pipename) TRUE Microsoft Windows

(Zurück nach oben)

IBM Sicherheit QRadar Endpunkt 2.8.3

Die folgende Tabelle zeigt die neuen und aktualisierten Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 2.8.3.

Tabelle 5. Regeln in IBM Sicherheit QRadar Endpoint Content Extension 2.8.3
Typ Ihren Namen Beschreibung
Regel Mehrere Anmeldefehler aufgrund eines fehlerhaften Kennworts

Erkennt den Passwort-Spraying-Angriff.
Regel Mögliche Brute-Force-Versuche

Erkennt den Brute-Force-Angriff.
Regel Remote: VNC-Zugriff aus dem Internet

Wird ausgelöst, wenn eine Virtual Network Computing (VNC)-Anwendung aus dem Internet auf einem lokalen Host erkannt wird.
Regel Remote: Remote Desktop Access from the Internet

Wird ausgelöst, wenn das Microsoft Remote Desktop Protocol (RDP) vom Internet zu einem lokalen Host erkannt wird.
Regel Verdächtige gültige Kontoanmeldung

Wird ausgelöst, wenn eine verdächtige Anmeldung von einem gültigen Konto erkannt wird
Regel Verdächtiges übergeordnetes Element für einen Prozess

Wird ausgelöst, wenn ein Prozess, der kein Kind haben soll, einen Prozess startet.
Regel Kritische Datei gelöscht

Wird ausgelöst, wenn eine kritische Datei oder eine Datei in einem kritischen Verzeichnis gelöscht wird.
Regel Kritische Datei geändert, gefolgt von verdächtiger Aktivität

Wird ausgelöst, wenn kritische Dateien oder Verzeichnisse geändert werden und eine verdächtige Aktivität auftritt.
Regel Kommunikation mit einer potenziell feindlichen IP-Adresse

Wird ausgelöst, wenn eine Kommunikation mit einer potenziell feindlichen IP-Adresse stattfindet. Die potenziellen feindlichen IP-Adressen werden entweder in IBM X-force oder in der benutzerdefinierten Referenzsammlung erfasst.
Regel Verdächtige PSExec-Modulnutzung erkannt

Wird ausgelöst, wenn eine Verwendung des PSExec-Moduls erkannt wird.
Regel Dienst für die Verwendung von PowerShell

Wird ausgelöst, wenn ein Service für die Verwendung von Powershell konfiguriert ist.
Regel Ransomware: Ryuk IOC in Ereignissen

Wird ausgelöst, wenn ein IOC (File Hash) mit Bezug zu Ryuk ransomware in Ereignissen beobachtet wird.
Regel Ransomware: Ryuk IOC in Datenflüssen

Wird ausgelöst, wenn ein IOC (File Hash) im Zusammenhang mit Ryuk ransomware in Datenströmen beobachtet wird.
Regel Speicherauszug von Berechtigungsnachweisen aus Windows Credential Manager mit PowerShell

Erkennt den Versuch, nach allgemeinen Speicherorten für Passwörter zu suchen, um an Benutzerdaten zu gelangen.
Regel Berechtigungsnachweise aus Windows Credential Manager mit PowerShell

Erkennt aufeinanderfolgende Versuche, nach gemeinsamen Speicherorten für Passwörter zu suchen, um an Benutzerdaten zu gelangen.
Regel Token-Identitätswechsel über PowerShell

Erkennt den Versuch der Verwendung von Windows-API-Funktionen im Zusammenhang mit Token-Impersonation oder Token-Diebstahl.
Regel Regsvr32 Abgehende Netzverbindung

Erkennt ausgehende Verbindungen, die von der regsvr32.exe-Datei initiiert werden.
Regel Abgehende Dllhost-netzverbindung

Erkennt ausgehende Verbindungen, die von der dllhost.exe-Datei initiiert werden.
Regel RunDLL32 abgehende Netzverbindung

Erkennt ausgehende Verbindungen, die von der rundll32.exe-Datei initiiert werden.
Regel Ransomware: Petya / Nicht-Petya-Payload in Datenflüssen

Wird ausgelöst, wenn eine Petya-Payload in Datenströmen beobachtet wird.
Regel Missbrauch von Zugriffstoken

Erkennt Tokenidentität und -diebstahl. (Beispiel: DuplicateToken(Ex) und ImpersonateLoggedOnUser mit dem Flag LOGON32_LOGON_NEW_CREDENTIALS)
Regel Erkennung von IOC des Turla-Registers bei Ereignissen

Wird ausgelöst, wenn ein IOC als Turla-Registry-Wert erkannt wird.
Regel Potenzial StandIn Verkehr nach dem Kompromiss

Wird ausgelöst, wenn ein Verhalten festgestellt wird, das möglicherweise zu X-Force Red StandIn gehört.
Baustein BB:CategoryDefinition: Dateien mit sensiblen Berechtigungen

Wird ausgelöst, wenn das aktuelle Arbeitsverzeichnis (CWD) in den folgenden Verzeichnissen erkannt wird:

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron* (zum Beispiel /etc/cron.hourly, /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

Die folgenden Dateien werden überwacht:

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
Baustein BB:CategoryDefinition: Sensitives aktuelles Arbeitsverzeichnis

Definiert die sensiblen aktuellen Arbeitsverzeichnisse, die Alarme für Directory-Traversal-Angriffe auslösen.
Baustein BB:CategoryDefinition: Zugriff auf sensible Datei

Definiert eine Regel, die ausgelöst wird, wenn das aktuelle Arbeitsverzeichnis (CWD) in den folgenden Verzeichnissen erkannt wird:

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron* (zum Beispiel /etc/cron.hourly, /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

Die folgenden Dateien werden überwacht:

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
Baustein BB:Verhaltensdefinition: Verzeichniserkennung (Windows)

Legt fest, wann der PowerShell Get-ChildItem-Befehl verwendet wird, um Verzeichnisse rekursiv zu ermitteln. Dieses Ereignis tritt ein, wenn der Parameter -Recurse angegeben ist oder wenn der Befehl innerhalb einer ForEach-Schleife verwendet wird.
Baustein BB:BehaviorDefinition: Potentieller StandIn Verkehr nach dem Kompromiss

Wird ausgelöst, wenn ein Prozess im Zusammenhang mit dem Werkzeug StandIn beobachtet wird. StandIn ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure können diese Anwendung jedoch für Angriffe nutzen.
Baustein BB:BehaviorDefinition: Potentiell StandIn Persistenzverkehr nach Kompromiss

Wird ausgelöst, wenn Persistenzbefehle im Zusammenhang mit dem Werkzeug StandIn beobachtet werden. StandIn ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure können diese Anwendung jedoch für Angriffe nutzen.
Baustein BB:BehaviorDefinition: Potentieller StandIn Post-Compromise Defense Evasion Traffic

Wird ausgelöst, wenn Befehle zum Ausweichen der Verteidigung im Zusammenhang mit dem Werkzeug StandIn beobachtet werden. StandIn ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure können diese Anwendung jedoch für Angriffe nutzen.
Baustein BB:BehaviorDefinition: Potentieller StandIn Post-Compromise Privilege Escalation Traffic

Wird ausgelöst, wenn Befehle zur Rechteerweiterung im Zusammenhang mit dem Werkzeug StandIn beobachtet werden. StandIn ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure können diese Anwendung jedoch für Angriffe nutzen.
Baustein BB:BehaviorDefinition: Potenzieller StandIn Aufzählungsverkehr nach Kompromiss

Wird ausgelöst, wenn Aufzählungsbefehle im Zusammenhang mit dem Werkzeug StandIn beachtet werden. StandIn ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure können diese Anwendung jedoch für Angriffe nutzen.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.8.2

In der folgenden Tabelle sind die Regeln in IBM Security QRadar Endpoint Content Extension 2.8.2aufgeführt.

Tabelle 6: Regeln in IBM Security QRadar Endpoint Content Extension 2.8.2
Typ Ihren Namen Beschreibung
Regel Für Pipe konfigurierter Service

Wird ausgelöst, wenn ein Service für die Verwendung einer Pipe konfiguriert ist. Dies könnte auf einen Angreifer hinweisen, der über eine Berechtigungseskalation mit getsystemZugriff auf das System eines Benutzers erhält.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.8.1

In der folgenden Tabelle sind die neuen Regeln in IBM Security QRadar Endpoint Content Extension 2.8.1aufgeführt.

Tabelle 7: Neue Regeln in IBM Security QRadar Endpoint Content Extension 2.8.1
Typ Ihren Namen Beschreibung
Regel MOVEit Transfer Vulnerability Exploit-Befehle

Erkennt den Missbrauch von MOVEit-Übertragungslücken über den Befehlszeilenindikator für Kompromittierung.
Regel MOVEit Transfer Vulnerability Exploit-Dateinamen

Erkennt MOVEit-Sicherheitslücken-Exploit durch Dateinamen-Indikator der Kompromittierung.
Regel MOVEit-Exploit-Hashes für Sicherheitslücken bei Übertragung

Erkennt MOVEit-Sicherheitslücken-Exploit durch Hash-Indikator der Kompromittierung.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.8.0

In der folgenden Tabelle sind die neuen Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 2.8.0aufgeführt.

Tabelle 8. Neue Regeln und Bausteine in IBM Security QRadar Endpoint Content Extension 2.8.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Kontomanipulation - Verdächtige Gründe für fehlgeschlagene Anmeldung Erkennt ungewöhnliche Fehlercodes bei einer fehlgeschlagenen Anmeldung, um verdächtige Aktivitäten zu ermitteln und Konten zu manipulieren, die inaktiviert oder eingeschränkt wurden
Baustein BB:BehaviorDefinition: Entdeckung von Cloud-Konten Erkennt Befehle zur Erkennung von Cloudkonten.
Baustein BB:BehaviorDefinition: Cloud Firewall Geändert oder gestoppt Erkennt geänderte oder gestoppte Cloud-Firewall.
Baustein BB:BehaviorDefinition: Prozess mit Token erstellen Erkennt die Token-Erstellung von PowerShell.
Baustein BB:BehaviorDefinition: Erkennung von E-Mail-Konten von PowerShell Erkennt die Erkennung von E-Mail-Konten von PowerShell.
Baustein BB:BehaviorDefinition: Ungültiges Passwort beim Login Erkennt ein ungültiges Kennwort bei der Anmeldung.
Baustein BB:BehaviorDefinition: Ungültiges Passwort während Kerberos Vor-Authentifizierung Erkennt ungültige Kennwortanmeldung während der Kerberos -Vorabauthentifizierung.
Baustein BB:BehaviorDefinition: Mailbox-Erlaubnis hinzugefügt Erkennt hinzugefügte Mailboxberechtigungen
Baustein BB:BehaviorDefinition: Potenzielle Erstzugriffsaufgaben Definiert potenzielle Erstzugriffstasks. Dazu gehören Aktivitäten wie die Kontoerkennung, das Stoppen der Firewall oder das Ändern von Berechtigungen.
Baustein BB:BehaviorDefinition: Schurkenhafte Pipe-Impersonation Erkennt einen Versuch zur Berechtigungseskalation über einen Rogue-Annehmen einer benannten Pipe.
Baustein BB:BehaviorDefinition: Verdächtiger Wechsel des Benutzer-Agenten Erkennt eine verdächtige Änderung des Benutzeragenten. Angreifer können mithilfe von Protokollen auf Anwendungsebene kommunizieren, die dem Webdatenverkehr zugeordnet sind, um eine Erkennung oder Netzfilterung zu vermeiden, indem sie mit vorhandenem Datenverkehr gemischt werden.
Baustein BB:BehaviorDefinition: Verdächtige ausgehende SMTP-Verbindungen Erkennt potenzielle Exfiltration über SMTP-Protokoll.
Baustein BB:BehaviorDefinition: Verdächtige Fernanmeldung mit expliziten Anmeldeinformationen Erkennt verdächtige Prozesse, die sich mit expliziten Berechtigungsnachweisen anmelden.
Baustein BB:BehaviorDefinition: Benutzer zu den lokalen Administratoren hinzugefügt Erkennt Benutzerkonten, die der lokalen Administratorgruppe hinzugefügt werden. Dies kann eine legitime Aktivität oder ein Zeichen einer Berechtigungseskalationsaktivität sein.
Baustein BB:BehaviorDefinition: Benutzeragent über Curl geändert Erkennt über 'curl' geänderte Benutzeragenten.
Baustein BB:BehaviorDefinition: User Agent geändert über PowerShell Erkennt den über PowerShell geänderten Benutzeragenten.
Baustein BB:BehaviorDefinition: Windows Firewall gestoppt Erkennt eine gestoppte Windows-Firewall.
Regel Missbrauch von Zugriffstoken Erkennt Tokenidentität und -diebstahl. (Beispiel: DuplicateToken(Ex) und ImpersonateLoggedOnUser mit dem Flag LOGON23_LOGON_NEW_CREDENTIALS)
Regel Abgehende Dllhost-netzverbindung Erkennt abgehende Verbindungen, die von dllhost.exeeingeleitet wurden
Regel Speicherauszug von Berechtigungsnachweisen aus Windows Credential Manager mit PowerShell Erkennt Angreifer, die nach allgemeinen Kennwortspeicherpositionen suchen, um Benutzerberechtigungsnachweise abzurufen.
Regel Berechtigungsnachweise aus Windows Credential Manager mit PowerShell Erkennt Angreifer, die nach allgemeinen Kennwortspeicherpositionen suchen, um Benutzerberechtigungsnachweise abzurufen.
Regel Protokollaktivität des Befehlsprotokolls wird beeinträchtigt Erkennt die Protokollaktivität des Befehlsprotokolls.
Regel Mehrere Anmeldefehler aufgrund eines fehlerhaften Kennworts Erkennt Angreifer, die Kennwortspritzen ausführen.
Regel Mehrere Anmeldefehler von Standardkonten Erkennt mehrere Anmeldefehler von Standardkonten.
Regel Mögliche Brute-Force-Versuche Erkennt Angreifer, die Brute-Force-Attacken ausführen.
Regel Potenzielle Exfiltration gespeicherter Berechtigungsnachweise von Browsern Erkennt potenzielle Exfiltration von Berechtigungsnachweisen, die in Browsern gespeichert sind.
Regel PPID-Sppofing erkannt Erkennt PPID-Spoofing auf dem System.
Regel Regsvr32 Abgehende Netzverbindung Erkennt ausgehende Verbindungen, die von der Datei regsvr32.exe initiiert wurden.
Regel RunDLL32 abgehende Netzverbindung Erkennt ausgehende Verbindungen, die von der Datei rundll32.exe initiiert wurden.
Regel Verdächtige Aktivität gefolgt von potenzieller Erstzugriffstask Wird ausgelöst, wenn potenzielle Erstzugriffstasks ausgeführt werden, gefolgt von verdächtigen Aktivitäten. Zu den Tasks für den Erstzugriff gehören: Kontoerkennung, Ausschalten der Firewall und mehr.
Regel Gespeicherte Berechtigungsnachweise von Windows Erkennt gespeicherte Berechtigungsnachweise von Windows.
Regel SID-Verlaufsinjektion Erkennt Injektionsaktivitäten des SID-Protokolls (Sicherheits-ID).
Regel Verdächtige gültige Kontoanmeldung Wird ausgelöst, wenn eine verdächtige Anmeldung von einem gültigen Konto erkannt wird
Regel Token-Identitätswechsel über PowerShell Erkennt Angreifer, die Windows-API-Funktionen im Zusammenhang mit dem Identitätswechsel oder Diebstahl von Tokens nutzen.

Die folgende Liste enthält neue angepasste Eigenschaften in der Inhaltserweiterung IBM Security QRadar Endpoint 2.8.0 .

Ihren Namen Beschreibung Optimiert
Authentifizierungspaket Angepasster Standardauszug des Authentifizierungspakets der DSM-Nutzdaten. Ja
Neuer Attributwert Angepasster Standardauszug des Attributs Neuer Wert der DSM-Nutzdaten. Nein
Beschreibung Angepasster Standardauszug der Beschreibung der DSM-Nutzdaten. Nein
Eingeleitet Angepasster Standardauszug der initiierten DSM-Nutzdaten. Ja
Identitätswechsel Angepasster Standardauszug der Stufe des Identitätswechsels der DSM-Nutzdaten. Ja
Anmeldeprozess Angepasster Standardauszug des Anmeldeprozesses der DSM-Nutzdaten. Ja
Zielservername Angepasster Standardauszug des Zielservernamens der DSM-Nutzdaten. Nein

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.7.2

In der folgenden Tabelle sind die neuen Regeln in IBM Security QRadar Endpoint Content Extension 2.7.2aufgeführt.

Tabelle 9. Neue Regeln in IBM Security QRadar Endpoint Content Extension 2.7.2
Typ Ihren Namen Beschreibung
Regel Erkennung von Turla-Verzeichnis und Dateiname IOC in Ereignissen Wird ausgelöst, wenn ein IOC als Kombination aus Turla-Verzeichnis und Dateiname erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung des Turla-Dateinamens IOC in Ereignissen Wird ausgelöst, wenn ein IOC als Turla-bezogener Dateiname erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung von Turla-Hash-IOC in Ereignissen Wird ausgelöst, wenn ein IOC als Turla-Hash erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung von Turla IP IOC in Ereignissen Wird ausgelöst, wenn ein IOC als bekannte Turla-IP erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung von Turla Registry IOC in Ereignissen Wird ausgelöst, wenn ein IOC als Turla-Registry-Wert erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung von Turla URL Host IOC in Events Wird ausgelöst, wenn ein IOC als bekannter URL erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Regel Erkennung von Turla URL IOC in Ereignissen Wird ausgelöst, wenn ein IOC als bekannte URL erkannt wird.
Hinweis: Die Regeln Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events wurden aus dieser Regel ausgeschlossen, um Wiederholungen zu verhindern. Ihr Zweck ist es eine dedizierte Regelantwort zu haben.
Die folgende Liste enthält neue Referenzsets in der Inhaltserweiterung IBM Security QRadar Endpoint 2.7.2 .
  • Turla SHA-Hashes
  • Turla MD5 -Hashes
  • Bekannte Turla-Dateinamen
  • Bekannte Turla-URLs
  • Bekannte Turla-IPs
  • Bekannte Turla-Hostnamen

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.7.1

Die folgende Liste enthält Bausteine, die eine Korrektur für ein Problem mit runden Klammern im AQL-Regelfilter erhalten haben.
  • BB:BehaviorDefinition: Kritischer Prozess erstellt
  • BB:BehaviorDefinition: Kritischer Prozess, der von einer Verknüpfungsdatei (lnk) erstellt wurde
  • BB:BehaviorDefinition: Neue Datei im temporären Verzeichnis erstellt
  • BB:BehaviorDefinition: Neue Registrierung hinzugefügt zu HKLM/HKCU (Windows)

Die gespeicherte Suche Malware Clean Failed wurde entfernt.

Falsche Link-IDs für Referenzsets wurden korrigiert.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.7.0

In der folgenden Tabelle sind die neuen Regeln in IBM Security QRadar Endpoint Content Extension 2.7.0aufgeführt.

Tabelle 10. Neue Regeln in IBM Security QRadar Endpoint Content Extension 2.7.0
Typ Ihren Namen Beschreibung
Regel Microsoft Windows RCE-Sicherheitslücke-Dateiänderung

Erkennt Schwachstellen bei der Codeausführung über Fernzugriff in Microsoft Exchange.

Microsoft hat "CVE-2022-41040" und "CVE-2022-41082" Exchange Server ausgegeben.
Regel Microsoft Windows RCE-Sicherheitslücke-Verdächtiger Download mit Certutil

Erkennt Schwachstellen bei der Codeausführung über Fernzugriff in Microsoft Exchange.

Microsoft hat "CVE-2022-41040" und "CVE-2022-41082" Exchange Server ausgegeben.
Regel Microsoft Windows RCE-Sicherheitslücke-Verdächtige Dateien

Erkennt Schwachstellen bei der Codeausführung über Fernzugriff in Microsoft Exchange.

Microsoft hat "CVE-2022-41040" und "CVE-2022-41082" Exchange Server ausgegeben.
Regel Microsoft Windows RCE-Sicherheitslücke-Verdächtige Hashes Erkennt bekannte Windows RCE SHA256 -Hashes.
Regel Microsoft Windows RCE-Sicherheitslücke-Verdächtige IPs

Diese Regel erkennt bekannte Windows-RCE-IPs.

Hinweis: Optimieren Sie auf der Basis von Protokollquellen, um die Anzahl der Ereignisse zu reduzieren, die mit dieser Regel übereinstimmen.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.6.0

In der folgenden Tabelle sind die neuen Bausteine und Regeln in IBM Security QRadar Endpoint Content Extension 2.6.0aufgeführt.

Tabelle 11. Neue Bausteine und Regeln in IBM Security QRadar Endpoint Content Extension 2.6.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Kritischer Prozess erstellt

Erkennt neu erstellte kritische Prozesse. Kritische Prozesse beziehen sich auf Prozesse, die potenziell von Angreifern missbraucht werden können, um böswillige Aktivitäten auszuführen. Zu den üblichen Prozessen gehören: PowerShell, cmd, mshta.

Hinweis: Die Regel kann durch das Feld Process CommandLine optimiert werden. Einige allgemeine Schlüsselwörter Process CommandLine , die in Malware angezeigt werden, sind: findstr, tmp, temp, vbs, regsvr32, Befehl, Ausgabedatei, dllund http.
Baustein BB:BehaviorDefinition: Kritischer Prozess, der durch eine Verknüpfungsdatei (lnk) erzeugt wurde Erkennt neue Prozesse, die aus Verknüpfungsdateien (lnk) erstellt werden. Prozesse, die typischerweise von Angreifern verwendet werden, wie PowerShell, cmd, mshta sollten überwacht werden.
Baustein BB:BehaviorDefinition: Übermäßige Dateiveränderungen Erkennt übermäßige Dateiänderungen innerhalb kurzer Zeit.
Baustein BB:BehaviorDefinition: Neue Datei im temporären Verzeichnis erstellt

Erkennt neue Dateien, die unter temporären Verzeichnissen erstellt wurden. Bestimmte temporäre Verzeichnisse können von Widersachern verwendet werden, um schädliche Dateien zu löschen.

Hinweis: Die überwachten Verzeichnisse sind.
  • -- Windows --
  • AppData\Local\Temp
  • AppData\Roaming\
Baustein BB:BehaviorDefinition: Neue Registrierung hinzugefügt zu HKLM/HKCU (Windows) Erkennt einen neuen Registrierungsschlüssel, der in HKLM-oder HKCU-Verzeichnissen definiert ist. Obwohl diese Aktivität nur legitim ist, kann dies eine Persistenzmethode sein, wenn potenzielle Ransomware-Verhaltensweisen erkannt werden.
Baustein BB:BehaviorDefinition: Verknüpfung (lnk) Datei, die einen kritischen Prozess ausführt (1)

Erkennt kritische Prozesse, die aus Verknüpfungsdateien (lnk) in der Reihenfolge der QRadar -Regeln erstellt wurden

Hinweis: Ereignisse können in der falschen Reihenfolge empfangen werden, siehe BB:BehaviorDefinition: Shortcut (lnk) File Executing a Critical Process (2) für die umgekehrte Reihenfolge.
Baustein BB:BehaviorDefinition: Verknüpfung (lnk) Datei, die einen kritischen Prozess ausführt (2)

Erkennt kritische Prozesse, die aus Verknüpfungsdateien (lnk) in der Reihenfolge der QRadar -Regeln erstellt wurden

Hinweis: Ereignisse können in der falschen Reihenfolge empfangen werden, siehe BB:BehaviorDefinition: Shortcut (lnk) File Executing a Critical Process (1) für die umgekehrte Reihenfolge.
Regel Potenzielles Mailto Ransomware-Verhalten (Windows) Wird ausgelöst, wenn ein potenzielles Mailto-Ransomware-Verhalten erkannt wird Eine Mailto-Ransomware führt normalerweise die folgenden Schritte aus (kann geringfügige Änderungen basierend auf der Variante haben):
  1. Registry-Änderungen zum Erstellen von Schlüsseln (für Persistenz)
  2. Löscht das temporäre Verzeichnis für ausführbare Dateien.
  3. Löscht Spiegelkopien.
  4. Verschlüsselung (Dateiänderung).
Regel Potenzielles Windows-Exploit über MSDT

Wird ausgelöst, wenn eine potenzielle Ausnutzung einer MSDT-Schwachstelle (Microsoft Support Diagnostic Tool) erkannt wird.

Microsoft hat "CVE-2022-30190" für die Sicherheitslücke in MSDT ausgegeben. Der Angreifer kann den fernen Code mit MSDT ausführen, um beliebigen Code auszuführen.
Regel Befehle zur Ausführung von Verknüpfungsdateien (lnk) (Windows) Wird ausgelöst, wenn eine Verknüpfungsdatei (lnk) Prozesse erstellt hat, die Befehle ausführen können Mehrere Malware wie Emotet verwenden Verknüpfungsdateien, die beim Öffnen bösartige Befehle ausführen.

Zusätzliche Regeln werden im Regelfilter für den Baustein BB:BehaviorDefinition: Suspicious Endpoint Activities hinzugefügt.

Der Regelfilter wird für die Regel Ransomware Encrypted File Extension aktualisiert.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.5.0

In der folgenden Tabelle sind die neuen Bausteine und Regeln in IBM Security QRadar Endpoint Content Extension 2.5.0aufgeführt.

Tabelle 12. Neue Bausteine und Regeln in IBM Security QRadar Endpoint Content Extension 2.5.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Kommunikation mit einem potenziellen feindlichen Wirt (Referenzsätze)

Definiert die Kommunikation mit einem potenziellen feindlichen Host, kategorisiert nach Referenzsets.

Die Referenzsets, die mit dem Präfix "XFE ATPF" beginnen, werden automatisch von der Threat Intelligence-App verwaltet und erfordern ein kostenpflichtiges Abonnement. Die anderen Referenzsets werden von der Threat Intelligence-App bereitgestellt und können verwendet werden, um Threat Intelligence-Feeds anderer Anbieter einzuschließen.
Baustein BB:BehaviorDefinition: Kommunikation mit einem potenziellen feindlichen Host (X-force-Kategorisierung) Wird ausgelöst, wenn die Kommunikation mit einem potenziell feindlichen Host erkannt wird Kategorisiert nach X-Force.
Baustein BB:BehaviorDefinition: Kommunikation mit einer potenziell feindlichen IP-Adresse (Referenzsätze)

Definiert die Kommunikation mit einer potenziell feindlichen IP, kategorisiert nach Referenzsets.

Die Referenzsets, die mit dem Präfix "XFE ATPF" beginnen, werden automatisch von der Threat Intelligence-App verwaltet und erfordern ein kostenpflichtiges Abonnement. Die anderen Referenzsets werden von der Threat Intelligence-App bereitgestellt und können verwendet werden, um Threat Intelligence-Feeds anderer Anbieter einzuschließen.
Baustein BB:BehaviorDefinition: Kommunikation mit einer potenziell feindlichen IP-Adresse (X-force-Kategorisierung) Wird ausgelöst, wenn eine Kommunikation mit einer potenziell feindlichen IP-Adresse erkannt wird. Kategorisiert nach X-Force.
Regel BB:BehaviorDefinition: Kritische Dateiveränderung Erkennt alle Änderungen, einschließlich Erstellungs-oder Löschvorgänge, kritischer Dateien oder Verzeichnisse.
Regel Geänderte kritische Datei gefolgt von verdächtiger Aktivität Wird ausgelöst, wenn eine kritische Datei oder ein kritisches Verzeichnis geändert wird, gefolgt von einer verdächtigen Aktivität Dies kann auf einen Angreifer hinweisen, der Dateien ändert und ausführbare Dateien löscht, um Zugriff auf den Host zu erhalten.
Regel Zu viele Anmeldefehler über RDP-Verbindung Wird ausgelöst, wenn mehrere fehlgeschlagene Authentifizierungsereignisse auf demselben Rechner in RDP von einer einzigen Quell-IP-Adresse erkannt werden.
Der Baustein BB:CategoryDefinition: Dateien mit sensiblen Berechtigungen wird umbenannt in BB:CategoryDefinition: Kritische Dateien und Verzeichnisse für Endpunkt. Daher haben zwei Regeln eine Aktualisierung ihrer Beschreibung erhalten, um den umbenannten Baustein widerzuspiegeln.
  • Kritische Datei gelöscht
  • Berechtigung für kritische Datei geändert

Die folgende Liste enthält Bausteine und Regeln, die in IBM Security QRadarEndpoint Content Extension 2.5.0eine Aktualisierung ihrer Regelhinweise erhalten haben.

  • Kommunikation mit einem potenziellen feindlichen Host
  • Kommunikation mit einer potenziell feindlichen IP-Adresse
  • Übermäßige Anmeldefehler über Netzverbindung

Der Regelfilter wird für die Bausteine Kommunikation mit einem potenziellen feindlichen Host und Kommunikation mit einer potenziellen feindlichen IP-Adresse aktualisiert.

Die folgende Liste enthält die neuen Referenzsets in IBM Security QRadarEndpoint Content Extension 2.5.0.

  • XFE ATPF-anonsvcs_ipv4
  • XFE ATPF-anonsvcs_ipv6
  • XFE-ATPF-anonsvcs_url
  • XFE ATPF-bots_ipv4
  • XFE ATPF-bots_ipv6
  • XFE ATPF-c2server_ipv4
  • XFE ATPF-c2server_ipv6
  • XFE ATPF-c2server_url
  • XFE ATPF-cryptomining_ipv4
  • XFE ATPF-cryptomining_ipv6
  • XFE ATPF-Verschlüsselungs-URL
  • XFE ATPF-ew_url
  • XFE ATPF-mw_ipv4
  • XFE ATPF-mw_ipv6
  • XFE-ATPF-mw_url
  • XFE-ATPF-phishing_url
  • XFE ATPF-scanning_ipv4
  • XFE ATPF-scanning_ipv6

Im Folgenden finden Sie eine Liste von Referenzsets, in denen der Elementtyp in IBM Security QRadarEndpoint Content Extension 2.5.0auf "Alphanumerische Groß-/Kleinschreibung ignorieren" aktualisiert wird.

  • Hashwert für Petya_File_Hash
  • Petya_File_Name
  • Shims Allowlist
  • WCry_FileHash
  • WCry_FileName
  • WCry_HostName

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.4.0

Die folgende Tabelle zeigt die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.4.0.

Tabelle 13. Benutzerdefinierte Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.4.0
Ihren Namen Optimiert Gefunden in
Integritätsebene Ja Microsoft Windows
ParentCommandLine Ja Microsoft Windows
Prozess-ID Ja Microsoft Windows
Name des Registrierungswerts Ja Microsoft Windows
Signiert Ja Microsoft Windows

Ausdrucks-IDs sind in den angepassten Eigenschaften Encoded Argument, StartAddress und Terminated Process Name festgelegt.

Die folgende Tabelle enthält die Regeln und Bausteine in IBM Security QRadar Endpoint 2.4.0.

Tabelle 14: Regeln und Bausteine in IBM Security QRadar Endpoint 2.4.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Image Loaded from Mock System Directory Wird ausgelöst, wenn eine ausführbare Datei oder DLL aus einem Verzeichnis geladen wird, das als Systemverzeichnis maskiert ist.
Baustein BB:BehaviorDefinition: Verdächtige Endpunktaktivitäten Potential UAC Bypass zur Liste verdächtiger Aktivitäten hinzugefügt
Baustein BB:BehaviorDefinition: UAC Bypass - DLL Hijacking (Nicht-Systemverzeichnis) Wird ausgelöst, wenn bestimmte Dateien an bestimmten Positionen abgelegt werden, an denen sie ohne Benutzerkontensteuerung mit echten ausführbaren Windows-Dateien geladen und ausgeführt werden können.
Baustein BB:BehaviorDefinition: UAC Bypass - DLL Hijacking (Systemverzeichnis) Wird ausgelöst, wenn ein privilegierter Prozess eine nicht signierte DLL aus dem Systemverzeichnis lädt.
Baustein BB:BehaviorDefinition: UAC Bypass - Elevated COM Object Wird ausgelöst, wenn COM-Schnittstellen, die die UAC umgehen können, von der dllhost.exe-Datei gehostet werden und einen privilegierten Prozess starten.
Baustein BB:BehaviorDefinition: UAC Bypass - IE Add-On Installer Wird ausgelöst, wenn das Add-on-Installationsprogramm von Internet Explorer einen privilegierten Prozess startet, wenn es über eine COM-Schnittstelle gestartet wird.
Baustein BB:BehaviorDefinition: UAC Bypass - Mock System Directory (Image) Wird ausgelöst, wenn ein privilegierter Prozess eine ausführbare Datei oder DLL aus einem Verzeichnis lädt, das als Systemverzeichnis maskiert ist.
Baustein BB:BehaviorDefinition: UAC Bypass - Mock System Directory (Process) Wird ausgelöst, wenn ein privilegierter Prozess aus einem Verzeichnis startet, das als Systemverzeichnis maskiert ist.
Baustein BB:BehaviorDefinition: Unsigned DLL Loaded from System Directory Wird ausgelöst, wenn eine nicht signierte DLL aus dem Systemverzeichnis geladen wird.
Baustein BB:CategoryDefinition: Elevated Process (Windows) Identifiziert erhöhte Prozesse.
Baustein BB:CategoryDefinition: UAC Bypass Registry Key Identifiziert Registrierungsschlüssel, die bekannt sind, um die Umgehung der Benutzerkontensteuerung zu vereinfachen.
Regel Potenzielle UAC-Umgehung Wird ausgelöst, wenn das Verhalten im Zusammenhang mit der Umgehung der Windows-Benutzerkontensteuerung erkannt wird.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.3.0

In der folgenden Tabelle sind die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.3.0aufgeführt.

Tabelle 15. Angepasste Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.3.0
Ihren Namen Optimiert Gefunden in
Encoded Argument Ja Microsoft Windows

Die folgende Tabelle enthält die Regeln und Bausteine in IBM Security QRadar Endpoint 2.3.0.

Tabelle 16. Regeln und Bausteine in IBM Security QRadar Endpoint 2.3.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Remote Desktop Access from a Remote Host Erkennt Datenflüsse, bei denen ein ferner Host auf eine Remote-Desktop-Anwendung zugreift.
Baustein BB:BehaviorDefinition: Administrative Freigabe zugegriffen Wird ausgelöst, wenn auf eine administrative Freigabe zugegriffen wird.
Baustein BB:Verhaltensdefinition: Eingehender Cobalt-Strike-Datenverkehr Identifiziert Datenflüsse, die einen Host anzeigen, der Mail an ferne Hosts sendet.
Baustein BB:Verhaltensdefinition: Eingehender Cobalt-Strike-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerprint erkannt wird, der als Kommunikation von einem Cobalt Strike-Server bekannt ist.
Baustein BB:Verhaltensdefinition: Abgehender Cobalt-Strike-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerprint erkannt wird, der als Kommunikation von einem Cobalt Strike-Server bekannt ist.
Baustein BB:BehaviorDefinition: Potential Cobalt Strike Traffic Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit Cobalt Strike in Zusammenhang steht. Cobalt Strike ist ein Penetrationstestwerkzeug, das häufig von roten Teams verwendet wird. Böswillige Akteure verwenden jedoch häufig illegal abgerufene Versionen dieser Anwendung, um ihre eigenen Angriffe zu nutzen. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Baustein BB:BehaviorDefinition: Programming Environment Started with a Privileged Account Wird ausgelöst, wenn eine Programmierumgebung mit einem privilegierten Konto gestartet wurde.
Baustein BB:BehaviorDefinition: Regular Endpoint Administration Definiert reguläre Verwaltungsaktivitäten wie Benutzerverwaltung, Dateidownload in der Befehlszeile oder Ausführung mit erhöhter Berechtigung.
Baustein BB:BehaviorDefinition: Verdächtige Endpunktaktivitäten Definierte verdächtige Endpunktaktivitäten.
Baustein BB:BehaviorDefinition: VNC Activity from a Remote Host Erkennt Datenflüsse, bei denen ein ferner Host auf einen VNC-Service zugreift.
Regel Cobalt-Strike-Verhalten erkannt Wird ausgelöst, wenn ein Verhalten erkannt wird, das möglicherweise zu Cobalt-Strike gehört. Cobalt Strike ist ein Penetrationstestwerkzeug, das häufig von roten Teams verwendet wird. Böswillige Akteure verwenden jedoch häufig illegal abgerufene Versionen dieser Anwendung, um ihre eigenen Angriffe zu nutzen.
Regel Kommunikation mit einem potenziellen feindlichen Host Wird ausgelöst, wenn die Kommunikation mit einem potenziell feindlichen Host, kategorisiert durch X-Force oder in der Referenzsetsammlung, erkannt wird.
Regel Verschlüsselter Befehl Böswillige Verwendung in einer Programmierumgebung Wird ausgelöst, wenn ein codierter Befehl in einem Programmierumgebungstyp cmd oder Powershell verwendet wird.
Regel Malware: Potenzieller Dridex-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Dridex-Trojaner in Zusammenhang steht. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Malware: Potenzieller Emotet-Datenverkehr Wird ausgelöst, wenn ein JA3-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Trojaner des Emotetts in Beziehung steht. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Malware: Potenzieller Empire-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Empire-Downloader in Zusammenhang steht. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Malware: Potenzieller Trickbot-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Trickbot-Trojaner in Zusammenhang steht. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Potenzieller Metasploit-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Metasploit in Zusammenhang steht. Metasploit ist ein Penetrationstestwerkzeug, das häufig von roten Teams verwendet wird. Jedoch werden böswillige Akteure es oft in ihren eigenen Angriffen verwenden. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Potenzieller Tor-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit dem Tor-Projekt in Zusammenhang steht. Tor ist ein nicht zerstörerischer Anonymisierungsservice, der verwendet werden kann, um Richtlinien zu umgehen und zerstörerische Aktivitäten durchzuführen. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Ransomware: Potenzieller Ryuk-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerabdruck beobachtet wird, der bekanntermaßen mit der Ryuk-Ransomware in Zusammenhang steht. Die Regel sucht nach Übereinstimmungen mit Client- und Serverfingerabdrücken, um das Risiko falsch-positiver Ergebnisse zu verringern.
Regel Remote: Remote Desktop Access from the Internet Wird ausgelöst, wenn das Microsoft Remote Desktop Protocol aus dem Internet für einen lokalen Host erkannt wird. Die meisten Unternehmen sehen dies als einen Angriff gegen die unternehmensinterne Richtlinie an. Falls es sich hierbei um eine normale Aktivität in Ihrem Netz handelt, sollten Sie diese Regel inaktivieren.
Regel Remote: VNC-Zugriff aus dem Internet Wird ausgelöst, wenn VNC (eine ferne Desktopzugriffsanwendung) aus dem Internet für einen lokalen Host erkannt wird. Viele Unternehmen betrachten dies als Richtlinienproblem, das gelöst werden muss. Falls es sich hierbei um eine normale Aktivität in Ihrem Netz handelt, inaktivieren Sie diese Regel.
Regel Dienst für die Verwendung von PowerShell Wird ausgelöst, wenn ein Service für die Verwendung von Powershell konfiguriert ist.
Regel Verdächtiges übergeordnetes Element für einen Prozess Wird ausgelöst, wenn ein Service für die Verwendung von Powershell konfiguriert ist.
Regel Verdächtige PSExec-Modulnutzung erkannt Wird ausgelöst, wenn eine Verwendung des PSExec-Moduls erkannt wird.

In der folgenden Tabelle sind die aktualisierten Referenzsets in IBM Security QRadar Endpoint 2.3.0 aufgeführt

Tabelle 17. Aktualisierte Referenzsets in IBM Security QRadar Endpoint 2.3.0
Ihren Namen Beschreibung
Default Process Name and Process Directories Listet sensible Prozesse und ihre Verzeichnisse auf.

Im Pulse-Dashboard Endpunktübersicht wurde ein Synchronisationsfehler behoben.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.2.0

In der folgenden Tabelle sind die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.2.0aufgeführt.

Tabelle 18. Angepasste Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.2.0
Ihren Namen Optimiert Gefunden in
ServiceFileName Ja Microsoft Windows

Die folgende Tabelle zeigt die Regeln und Bausteine in IBM Security QRadar Endpoint 2.2.0.

Tabelle 19. Regeln und Bausteine in IBM Security QRadar Endpoint 2.2.0
Typ Ihren Namen Beschreibung
Baustein BB:Verhaltensdefinition: Malware als Service-Pfad IOC

Wird ausgelöst, wenn ein Dateipfad-Indikator der Kompromittierung (IoC) im Zusammenhang mit Malware as a Service (MaaS), wie z. B. Emotet-Trojaner und Trickbot-Trojaner, beobachtet wird.

IOCs werden dem Muster in diesen angepassten Verzeichnissen folgen:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

Der Referenzsatz Malware as a Service_Path ist bereits ausgefüllt. Optimieren Sie diesen Referenzsatz mit dem relevanten IOC.
Regel Potenzielle Speichercode-Injection Wird ausgelöst, wenn das Beacon Cobalt strike einen Windows-Prozess generiert. Cobalt-Streik-Beacon erzeugt eine native Windows-Binärdatei und manipuliert seinen Speicherplatz, was dazu führt, dass die generierten Prozesse keine Befehlszeilenargumente haben. angegeben.
Regel Für die Verwendung einer Pipe konfigurierter Service Wird ausgelöst, wenn ein Service für die Verwendung einer Pipe konfiguriert ist. Dies kann auf einen Angreifer hinweisen, der über eine Berechtigungseskalation mittels getsystem Zugriff auf ein Benutzersystem erhält.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.1.1

Es wurde ein Synchronisationsfehler in den Pulse-Dashboards Endpunktübersicht und Ransomware behoben.

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.1.0

Folgende Tabelle zeigt die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.1.0.

Tabelle 20. Angepasste Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.1.0
Ihren Namen Optimiert Gefunden in
Prozessname Ja
Beendeter Prozess Ja Microsoft Windows

Die folgende Tabelle enthält die Regeln und Bausteine in IBM Security QRadar Endpoint 2.1.0.

Tabelle 21. Regeln und Bausteine in IBM Security QRadar Endpoint 2.1.0
Typ Ihren Namen Beschreibung
Baustein BB:Verhaltensdefinition: Malware als Service-Pfad IOC

Wird ausgelöst, wenn ein Dateipfad-Indikator der Kompromittierung (IoC) im Zusammenhang mit Malware as a Service (MaaS), wie z. B. Emotet-Trojaner und Trickbot-Trojaner, beobachtet wird.

IOCs werden dem Muster in diesen angepassten Verzeichnissen folgen:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

Der Referenzsatz Malware as a Service_Path ist bereits ausgefüllt. Optimieren Sie diesen Referenzsatz mit dem relevanten IOC.
Baustein BB:DeviceDefinition: Operating System Definiert alle Betriebssysteme auf dem System.
Regel Erkennung von zerstörerischem iOC in Ereignissen

Wird ausgelöst, wenn ein IoC als zerstörerisch in einer Referenzsatzsammlung kategorisiert wird.

Die Regeln Malware as a Service Hash IOC in Eventsund Ransomware: Ryuk IOC in Events sind von dieser Regel ausgeschlossen, um Wiederholungen zu vermeiden. Ihr Zweck ist es, eine dedizierte Regelantwort zu haben.
Regel Erkennung von zerstörerischem iOC in Datenflüssen

Wird ausgelöst, wenn ein IoC als zerstörerisch in einer Referenzsatzsammlung kategorisiert wird.

Malware as a Service Hash IOC in Flowsund Ransomware: Ryuk IOC in Flows sind von dieser Regel ausgeschlossen, um Wiederholungen zu vermeiden. Ihr Zweck ist es, eine dedizierte Regelantwort zu haben.
Regel Zu viele Zugriffsfehler bei der administrativen Freigabe von demselben Host Wird ausgelöst, wenn wiederholte Fehler beim Zugriff auf administrative Freigaben vom selben Host aus auftreten.

Diese Regel wurde umbenannt in Übermäßig viele fehlgeschlagene Zugriffe auf eine administrative Freigabe aus derselben Quelle
Regel Übermäßige Anmeldefehler über Netzverbindung

Wird ausgelöst, wenn mehrere fehlgeschlagene Authentifizierungsereignisse auf derselben Maschine aus einer einzelnen Quellen-IP-Adresse erkannt werden.

Dieses Verhalten weist auf einen potenziellen Brut-Force-Versuch hin, auf eine Maschine zuzugreifen.

Diese Regel wurde in Übermäßige Anmeldefehler über RDP umbenannt.
Regel Übermäßige Anmeldefehler über Netzverbindung zu mehreren Maschinen

Wird ausgelöst, wenn mehrere fehlgeschlagene Authentifizierungsereignisse auf verschiedenen Maschinen aus einer einzelnen Quellen-IP-Adresse erkannt werden.

Dieses Verhalten weist auf einen potenziellen Brut-Force-Versuch hin, auf eine Maschine zuzugreifen.

Diese Regel wurde in Übermäßige Anmeldefehler über Netzverbindung zu mehreren Maschinen umbenannt.
Regel Zerstörerische DLL, die von spoolsv erstellt wurde Wird ausgelöst, wenn eine verdächtige Datei von spoolsv.exe erstellt wurde.
Regel Malware als Service-Verhalten

Wird ausgelöst, wenn ein Malware-als-Service-Verhalten beobachtet wird.

Zu diesen Verhaltensweisen gehören die Verwendung eines Download-Dienstprogramms auf dem Endpunkt und der Dateipfad, der auf einen Kompromiss hindeutet.
Regel Malware als Service-Hash-IOC in Ereignissen

Wird ausgelöst, wenn ein Datei-Hash-IoC im Zusammenhang mit MaaS, wie z. B. Emotet-Trojaner und Trickbot-Trojaner, beobachtet wird.

Die Referenzsätze Malware as a Service_SHA1, Malware as a Service_SHA256 und Malware as a Service_MD5 sind bereits ausgefüllt. Optimieren Sie diese Referenzsätze mit dem relevanten IOC.
Regel Malware als Service-Hash-IOC in Datenflüssen

Wird ausgelöst, wenn ein Datei-Hash-IoC im Zusammenhang mit MaaS, wie z. B. Emotet-Trojaner und Trickbot-Trojaner, beobachtet wird.

Malware as a Service_SHA1, Malware as a Service_SHA256 und Malware as a Service_MD5 sind bereits ausgefüllt. Optimieren Sie diese Referenzsätze mit dem relevanten IOC.
Regel Von einem verdächtigen Prozess gestartete Programmierumgebung Wird ausgelöst, wenn eine Programmierumgebung durch einen verdächtigen Prozess gestartet wird. Die könnte auf einen Angreifer hinweisen, der versucht, ein schädliches Script auszuführen.

Diese Regel wurde für Windows-Sicherheitslücken aktualisiert.
Regel Ransomware-Entschlüsselungsanleitung erstellt Wird ausgelöst, wenn auf einer Maschine ein Dateiname für die Entschlüsselungsanleitung gefunden wird. Es ist typisch für Ransomware, eine Entschlüsselungsanleitungsdatei zu erstellen, um den Benutzern Hinweise zu geben, wie sie das Lösegeld bezahlen können, um ihre Dateien wiederherzustellen. Diese Datei wird häufig mit allgemeinen Begriffen wie decrypt, recover, instructions oder how to benannt.

Diese Regel wurde für Ryuk Ransomware aktualisiert.
Regel Verschlüsselte Ransomware-Dateierweiterung Wird ausgelöst, wenn eine bekannte Ransomware-Dateierweiterung erkannt wird. Ransomware verschlüsselt in der Regel Dateien und fügt als Teil ihres Prozesses eine bestimmte Dateierweiterung hinzu.

Diese Regel wurde für Ryuk Ransomware aktualisiert.
Regel Ransomware-IOCs auf mehreren Maschinen erkannt Wird ausgelöst, wenn ein Ransomware-IoC auf fünf oder mehr verschiedenen Rechnern erkannt wird. Dies könnte darauf hindeuten, dass sich die Ransomware erfolgreich im Netz verbreitet.

Diese Regel wurde für alle neuen Erkennungsregeln aktualisiert, die in dieser Version hinzugefügt wurden.
Regel Ransomware: Ryuk IOC in Ereignissen

Wird ausgelöst, wenn eine Datei-Hash-IoC im Zusammenhang mit Ryuk-Ransomware beobachtet wird.

Die Ryuk_SHA256, Ryuk_SHA1und Ryuk_MD5 sind vorab gefüllt. Optimieren Sie diese Referenzsätze mit dem relevanten IOC.
Regel Ransomware: Ryuk IOC in Datenflüssen

Wird ausgelöst, wenn eine Datei-Hash-IoC im Zusammenhang mit Ryuk-Ransomware beobachtet wird.

Die Ryuk_SHA256, Ryuk_SHA1und Ryuk_MD5 sind vorab gefüllt. Optimieren Sie diese Referenzsätze mit dem relevanten IOC.
Regel Ransomware: Ryuk-Service oder Prozessbeendigung

Wird ausgelöst, wenn Ryuk-Ransomware aktive Prozesse beendet, nachdem eine Kopie von sich selbst erstellt wurde.

Der Referenzsatz Ryuk Service und Prozessbeendigungsliste ist bereits ausgefüllt. Optimieren Sie diesen Referenzsatz mit den relevanten Services und Prozessen.

Die folgende Tabelle zeigt die Referenzsets in IBM Security QRadar Endpoint 2.1.0.

Tabelle 22. Referenzsets in IBM Security QRadar Endpoint 2.1.0
Ihren Namen Beschreibung
Malware als Service_MD5 Listet MD5-Dateihashes auf, die Indikatoren für Malwares als Service sind.
Malware als Service_Path Listet Dateipfade auf, die Indikatoren für Malwares als Service sind.
Malware als Service_SHA1 Listet SHA1-Dateihashes auf, die Indikatoren für Malwares als Service sind.
Malware als Service_SHA256 Listet SHA256-Dateihashes auf, die Indikatoren für Malwares als Service sind.
pulse_imports Impulsdashboard.
Ryuk Service und Prozessbeendigungsliste Listet mögliche Prozesse oder Services auf, die von Ryuk Ransomware beendet wurden.
Ryuk_MD5 Listet MD5-Dateihashes auf, die Indikatoren für Ryuk Ransomware sind.
Ryuk_SHA1 Listet SHA1-Dateihashes auf, die Indikatoren für Ryuk Ransomware sind.
Ryuk_SHA256 Listet SHA256-Dateihashes auf, die Indikatoren für Ryuk Ransomware sind.

Das in IBM Security QRadar Endpoint Content Extension 2.1.0 hinzugefügte Pulse-Dashboard enthält acht auf Ransomware bezogene Widgets:

  • Eine mit Statistiken über die Anzahl der betreffenden Rechner pro Regel.
  • Eine mit Statistiken über die Anzahl der Warnungen pro Rechner.
  • Sechs Tabellen, die die sechs Phasen eines Angriffs darstellen.

Die ersten beiden Widgets enthalten alle Regeln aus jeder Phase:

WHERE (RULENAME(creEventList) IN ('Attempt to Delete Shadow Copies', 'Critical File Deleted (Unix)', 'RDP Hijacking Tool Detected', 'Recovery Disabled in Boot Configuration Data', 'Detection of Malicious File or Process', 'Detection of Malicious IOC', 'File Decode or Download followed by Suspicious Activity', 'Cobalt Strike Behaviour Detected', 'Excessive Failed Access to an Administrative Share from the Same Source', 'Excessive Nslookup Usage', 'Reconnaissance Tool Detected', 'Excessive File Deletion and Creation', 'Suspicious Amount of Files Renamed on the Same Machine (Windows)', 'Suspicious Amount of Files Renamed/Moved on the Same Machine (Unix)', 'Suspicious Amount of Files Deleted on the Same Machine') 
OR RULENAME(creEventList) MATCHES '.*(Ransomware|Maze|Bad Rabbit|Petya|REvil|Ryuk|WCry|Malware as a Service Hash IOC).*?')

In der folgenden Tabelle werden die Regeln aufgelistet, die für jede Phase enthalten sind.

Tabelle 23. Regeln für jede Angriffsphase
Phase Regeln
Verteilung
  • Malware als Servicehash-IOC in Ereignissen
  • Malware als Service-Hash-IOC in Datenflüssen
Staging
  • Versuch, Schattenkopien zu löschen
  • Kritische Datei gelöscht (Unix)
  • RDP-Hijacking-Tool erkannt
  • Wiederherstellung inaktiviert in Bootkonfigurationsdaten
  • Ransomware: Ryuk-Service oder Prozessbeendigung
Infizierung
  • Erkennung von zerstörerischer Datei oder Prozess
  • Erkennung von zerstörerischer IOC
  • Dateidekodierung- oder Download gefolgt von verdächtiger Aktivität
  • Ransomware: BadRabbit IOC in Ereignissen
  • Ransomware: BadRabbit IOC in Datenflüssen
  • Ransomware: Maze IOC in Ereignissen
  • Ransomware: Petya / Nicht-Petya IOC in Ereignissen
  • Ransomware: Petya / Nicht-Petya IOC in Datenflüssen
  • Ransomware: REvil IOC in Ereignissen
  • Ransomware: WCry IOC in Ereignissen
  • Ransomware: WCry IOC in Datenflüssen
  • Ransomware: WCry Payload in Datenflüssen
  • Ransomware-IOCs auf mehreren Maschinen erkannt
  • Ransomware: Ryuk IOC in Ereignissen
  • Ransomware: Ryuk IOC in Datenflüssen
  • Verschlüsselte Ransomware-Dateierweiterung
Ausspähung
  • Cobalt Strike-Verhalten erkannt
  • Übermäßig viele fehlgeschlagene Zugriffe auf eine administrative Freigabe aus derselben Quelle
  • Übermäßige Nslookup-Nutzung
  • Ausspäh-Tool erkannt
Verschlüsselung
  • Übermäßige Dateilöschung- und Erstellung
  • Verschlüsselte Ransomware-Dateierweiterung
  • Ransomware: Verdächtige Maze-Dateiübertragung
  • Verdächtige Anzahl von Dateien, die auf demselben Rechner gelöscht wurden
  • Verdächtige Anzahl von Dateien, die auf demselben Rechner umbenannt wurden (Windows)
  • Verdächtige Anzahl von umbenannten/verschobenen Dateien auf demselben Rechner (Unix)
Lösegeldbenachrichtigung Ransomware-Entschlüsselungsanleitung erstellt

(Zurück nach oben)

IBM Security QRadar Endpunkt 2.0.0

Die folgende Tabelle zeigt die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.0.0.

Tabelle 24. Benutzerdefinierte Eigenschaften in IBM Security QRadar Endpoint Content Extension 2.0.0
Ihren Namen Optimiert Gefunden in
Logon Type (Anmeldetyp) Ja Microsoft Windows
Share Name (Freigabename) Ja Microsoft Windows
StartAddress Ja Microsoft Windows

In der folgenden Tabelle sind die Regeln und Bausteine in IBM Security QRadar Endpoint 2.0.0aufgeführt.

Tabelle 25. Regeln und Bausteine in IBM Security QRadar Endpoint 2.0.0
Typ Ihren Namen Beschreibung
Baustein BB:Verhaltensdefinition: Eingehender Cobalt-Strike-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerprint erkannt wird, der als Kommunikation von einem Cobalt Strike-Server bekannt ist.
Baustein BB:Verhaltensdefinition: Abgehender Cobalt-Strike-Datenverkehr Wird ausgelöst, wenn ein TLS-Fingerprint erkannt wird, der als Kommunikation von einem Cobalt Strike-Server bekannt ist.
Baustein BB:Verhaltensdefinition: Cobalt-Strike-Portnutzung Wird ausgelöst, wenn der abgehende TCP-Datenverkehr über den Port 50050 erkannt wird. Dies ist der Standardport für die Kommunikation mit einem Cobalt-Strike-Server.
Baustein BB:Verhaltensdefinition: Cobalt-Strike-Prozessaddresse Wird ausgelöst, wenn ein entfernter Thread mit einer Startadresse, die auf "0B80" endet, erstellt wird. Dieses Verhalten deutet darauf hin, dass ein Thread von Cobalt-Strike erstellt wurde.
Baustein BB:Verhaltensdefinition: Verzeichniserkennung (Unix) Definiert, wann ein Unix-Befehl ausgeführt wird, der eine große Anzahl von Verzeichnissen erkennt. Die folgenden Befehle werden von dieser Regel erkannt:
  • ls -d
  • find -type d
  • ls -r
Baustein BB:Verhaltensdefinition: Verzeichniserkennung (Windows) Legt fest, wann eine PowerShell ausgeführt wird, die Verzeichnisse rekursiv ermittelt. Dies kann auftreten, wenn die Get-ChildItem-Funktion mit dem Argument -recurse ausgeführt wird oder innerhalb einer ForEach-Schleife verwendet wird.
Baustein BB:Verhaltensdefinition: Dateierstellung- und Löschung Erkennt Dateierstellungs- und Dateilöschereignisse im selben Verzeichnis auf einem Windows-Rechner und kann in Regeln verwendet werden, um mehrere Dateiänderungen in vielen Verzeichnissen zu erkennen.
Baustein BB:Verhaltensdefinition: PowerShell-Dateiupload-Aktivität Wird ausgelöst, wenn PowerShell zum Hochladen von Dateien verwendet wird.
Baustein BB:Verhaltensdefinition: Wiederholte nslookup-Nutzung Wird ausgelöst, wenn nslookup wiederholt genutzt wird. Der Schwellenwert kann noch als normales Verwaltungsverhalten betrachtet werden und muss mit anderen Ereignissen korreliert werden, um als anormal zu gelten.
Baustein BB:Verhaltensdefinition: Mehrere Dateilöschungen auf Endpunktsystem Wird ausgelöst, wenn mehrere nicht temporäre Dateien auf Endpunktsystemen gelöscht werden.
Baustein BB:Verhaltensdefinition: Hostnamen- oder Netzerkennung Stimmt überein, wenn eine Hostnamen- oder Netzwerkerkennungsaktion durchgeführt wird.
Baustein BB:BehaviorDefinition: Regular Endpoint Administration Definiert reguläre Verwaltungsaktivitäten wie Benutzerverwaltung, Herunterladen einer Datei in der Befehlszeile, Ausführung mit erhöhter Berechtigung.
Baustein BB:BehaviorDefinition: Verdächtige Endpunktaktivitäten Definierte verdächtige Endpunktaktivitäten.
Regel Versuch, Schattenkopien zu löschen Wird ausgelöst, wenn ein Befehl zum Löschen von Schattenkopien ausgeführt wird. Zerstörerische Programme können versuchen, die Windows-Verwaltungsinstrumentation oder Vssadmin zu verwenden, um Snapshots von Dateien zu entfernen, die von Windows erstellt wurden.
Regel Cobalt-Strike-Verhalten erkannt Wird ausgelöst, wenn ein Verhalten erkannt wird, das möglicherweise zu Cobalt-Strike gehört. Cobalt Strike ist ein Tool für Penetrationstests, das häufig von Red Teams eingesetzt wird. Böswillige Akteure verwenden jedoch häufig illegal beschaffte Versionen dieser Anwendung für Angriffe.
Regel Kritische Datei gelöscht (Unix) Erkennt, wenn eine kritische Datei oder Datei in einem kritischen Verzeichnis gelöscht wird. Die Auslagerungsdateien sind standardmäßig ausgeschlossen, und alle anderen Dateierweiterungen, die Sie nicht überwachen möchten, können ebenfalls ausgeschlossen werden.

Bearbeiten Sie den Baustein BB:CategoryDefinition: Files with Sensitive Permissions mit den Dateien oder Verzeichnissen, die überwacht werden sollen. Diese Positionen sollten sich auf das Booten, Sichern, Protokollieren oder auf Berechtigungen beziehen, die bei der Nutzung eine höhere Bewertung aufweisen.
Regel Schädliche Datei oder schädlichen Prozess erkennen Erkennt, wenn ein Dateiname oder Prozessname beobachtet wird, der als Teil der Malware-Ausführung gilt. Diese Regel überwacht die folgenden Datei- oder Prozessnamen:
  • Minergate
  • Neshta
  • Slayer Leecher
  • NLBrute (NL)
  • EternalBlue
  • MimiKatz / MimiPenguin
Regel Übermäßig viele fehlgeschlagene Zugriffe auf eine administrative Freigabe aus derselben Quelle Wird ausgelöst, wenn aufeinanderfolgende fehlgeschlagene Versuche, auf eine administrative Freigabe zuzugreifen, erkannt werden.
Regel Übermäßiges Löschen und Erstellen von Dateien Wird ausgelöst, wenn eine große Anzahl von Dateien in mehreren Verzeichnissen erstellt und gelöscht wird. Dies könnte auf das Vorhandensein einer Ransomware wie WCry oder Samsam hinweisen, die eine verschlüsselte Kopie einer Datei erstellt, bevor das Original gelöscht wird.
Regel Übermäßige Anmeldefehler über RDP Wird ausgelöst, wenn mehrere fehlgeschlagene Authentifizierungsereignisse auf demselben Rechner in RDP von einer einzigen Quell-IP-Adresse erkannt werden. Dieses Verhalten weist auf einen potenziellen Brut-Force-Versuch hin, auf einen Rechner zuzugreifen.
Regel Übermäßige Anmeldefehler über RDP auf mehrere Rechner Wird ausgelöst, wenn mehrere fehlgeschlagene Authentifizierungsereignisse auf verschiedenen Rechnern aus einer einzelnen Quellen-IP-Adresse erkannt werden. Dieses Verhalten weist auf einen potenziellen Brut-Force-Versuch hin, auf einen Rechner zuzugreifen.
Regel Übermäßige Nslookup-Nutzung Wird ausgelöst, wenn der Befehl nslookup zu oft vom selben Rechner ausgeführt wird. Dieses Verhalten kann auf einen böswilligen Akteur hinweisen, der versucht, Informationen über das Netz zu sammeln, um es zu exfiltrieren.
Regel Ransomware-Entschlüsselungsanleitung erstellt Wird ausgelöst, wenn auf einem Rechner ein Dateiname für die Entschlüsselungsanleitung gefunden wird. Es ist typisch für Ransomware, eine Entschlüsselungsanleitungsdatei zu erstellen, um den Benutzern Hinweise zu geben, wie sie das Lösegeld bezahlen können, um ihre Dateien wiederherzustellen. Besagte Datei wird häufig mit allgemeinen Begriffen wie entschlüsseln, wiederherstellen, Anweisungen oder Anleitungen usw. benannt.
Regel Verschlüsselte Ransomware-Dateierweiterung Wird ausgelöst, wenn eine bekannte Ransomware-Dateierweiterung erkannt wird. Ransomware verschlüsselt in der Regel Dateien und fügt als Teil ihres Prozesses eine bestimmte Dateierweiterung hinzu. Vollständige Liste der Erweiterungen: aes_ni, 1999, _23-06-2016-20-27-23_$f_tactics@aol.com$.legion, _crypt, $centurion_legion@aol.com$.cbf, 0x0, 34xxx, 3angle@india.com, 73i87a, 8lock8, aaa, abc, acrypt, aes_ni_0day, aes256, alcatraz, arzamass7@163.com, bart.zip, better_call_saul, biz, blackblock, bleep, bloc, bloccato, btc, btc-help-you, btcbtcbtc, btcware, bugsecccc, cazzo, ccc, cerber, chifrator@qq_com, clf, code, coverton, crab, crime, crinf, crjoker, cry, cryp1, crypt, crypted, cryptendblackdc, crypto, cryptobyte, cryptoshield, cryptotorlocker2015!, cryptowall, cryptowin, crysis, ctb2, ctbl, czvxce, darkness, dharma, dll555, don0t0uch7h!$cryptedfile, doomed, duhust, dyatel@qq_com_ryp, ecc, ecovector2@aol.com, ecrypt, enc, encedrsa, enciphered, encrypt, encrypted, encryptedaes, encryptedfile, encryptedrsa, encryptile, enigma, epic, exploit, exx, ezz, flyper, foobar.docx.onyon, frozen, fucked, fun, gdcb, gefickt, globe, good, greg_blood@india.com, gruzin@qq_com, gsupport, gws, ha3, hb15, helpdecrypt@ukr, hnyear, hollycrypt, html, hush, infected, j, johnycryptor@hackermail.com, justbtcwillhelpyou, keybtc@inbox_com, keyh0les, keyz, kimcilware, kimcilware.lechiffre, kkk, korrektor, krab, kraken, kratos, krypted, kyra, lechiffre, lesli, lock, locked, locky, lok, lol!, magic, mecpt, micro, milarepa.lotos@aol.com, mole, monstro, mychemicalromance4ever, nalog@qq_com, no.btc@protonmail.ch, no.btcw@protonmail.ch, no.xop@protonmail.ch, nochance, obfuscated, omg!*, only-we_can-help_you, oor, oplata@qq_com, oshit, p5tkjw, payb, paybtcs, paymds, paymrts, payms, paymst, paymts, payransom, payrms, payrmts, pays, pizda@qq_com, poar2w, porno, pornoransom, purged, pzdc, r16m01d05, r4a, r5a, radamant, raid, razy, rdm, rdmk, relock@qq_com, remind, rmd, rokku, rrk, rscl, saeid, sanction, savepanda@india.com, scl, securecrypted, siri-down@india.com, sport, sql772@aol.com, supercrypt, surprise, systemdown@india.com, szf, theva, tombit@india.com, toxcrypt, troyancoder@qq_com, trun, ttt*, uk-dealer@sigaint.org, unlockit, vault, vegclass@aol.com, versiegelt, vscrypt, vvv, wallet, xdata, xort, xrnt, xrtn, xtbl, xxx, xyz, zendr, zendrz, zepto, zzz, 암호화됨
Regel Ransomware-IOCs auf mehreren Maschinen erkannt Wird ausgelöst, wenn ein Ransomware-IoC auf fünf oder mehr verschiedenen Rechnern erkannt wird. Dies könnte darauf hindeuten, dass sich die Ransomware erfolgreich im Netz verbreitet.
Regel Ransomware: BadRabbit IOC in Ereignissen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu BadRabbit Ransomware beobachtet wird.
Regel Ransomware: BadRabbit IOC in Datenflüssen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu BadRabbit Ransomware beobachtet wird.
Regel Ransomware: Maze IOC in Ereignissen Wird ausgelöst, wenn ein IOC (Dateiname) mit Bezug zu Maze Ransomware beobachtet wird.
Regel Ransomware: Verdächtige Maze-Dateiübertragung Wird ausgelöst, wenn eine Dateiübertragung im Zusammenhang mit der Datenexfiltration durch die Ransomware Maze erkannt wird.
Regel Ransomware: Petya / Nicht-Petya IOC in Ereignissen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu Petya Ransomware beobachtet wird.
Regel Ransomware: Petya / Nicht-Petya IOC in Datenflüssen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu Petya Ransomware beobachtet wird.
Regel Ransomware: Petya / Nicht-Petya-Payload in Datenflüssen Wird ausgelöst, wenn eine Petya-Payload in Datenströmen beobachtet wird.
Regel Ransomware: REvil IOC in Ereignissen Wird ausgelöst, wenn ein IOC (Dateiname) mit Bezug zu REvil Ransomware, auch bekannt als Sodinokibi und Sodin, beobachtet wird.
Regel Ransomware: WCry IOC in Ereignissen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu WCry Ransomware beobachtet wird.
Regel Ransomware: WCry IOC in Datenflüssen Wird ausgelöst, wenn ein IOC (Dateiname, Dateihash, Hostname, IP-Adresse) mit Bezug zu WCry Ransomware beobachtet wird.
Regel Ransomware: WCry Payload in Datenflüssen Wird ausgelöst, wenn eine WCry Payload in Datenflüssen beobachtet wird.
Regel RDP-Hijacking-Tool erkannt Wird ausgelöst, wenn ein Prozess erstellt wird, der die RDP-Sicherheit umgehen kann. Folgende Tools werden überwacht:
  • ngrok, das zum Öffnen von Verbindungen verwendet werden kann, die eine Firewall umgehen
  • tscon, ein natives Windows-Tool, das verwendet werden kann, um eine andere aktive RDP-Sitzung zu kapern
Regel Prozess zur Erkennung von Ausspäh-Tools erkannt Wird ausgelöst, wenn Erkennungstools entdeckt werden, die üblicherweise vor dem Einsatz von Ransomware verwendet werden. Diese Tools können auch von Red Teams verwendet werden und sind nicht per se gefährlich, aber böswillige Akteure können sie verwenden, um eine Umgebung zu untersuchen, bevor sie sie angreifen. Die Regel wurde mit den folgenden Tools vorausgefüllt:
  • BloodHound und das dazugehörige Datenaufnahme-Tool SharpHound ist eine Anwendung, die dazu dient, versteckte und unbeabsichtigte Beziehungen innerhalb einer Active Directory-Umgebung abzubilden. Angreifer können diese Tools nutzen, um Angriffswege leicht zu erkennen.
  • PingCastle ist ein Tool, das häufig von Unternehmen verwendet wird, um die Sicherheit ihrer Active Directory zu bewerten. Böswillige Akteure können dieses Tool verwenden, um Schwachstellen in der Umgebung zu erkennen.
  • Advanced IP Scanner ist ein Netzscanner, der für die Fernsteuerung von Geräten in einer Umgebung verwendet werden kann. Dieses Tool kann während einer Ransomware-Attacke verwendet werden, um eine Lateralausbreitung zu ermöglichen.
  • AdFind ist ein Befehlszeilentool für Active Directory-Abfragen. Es kann verwendet werden, um schnell Schwachstellen innerhalb einer Active Directory-Konfiguration zu identifizieren.
  • Everything (oder ES) ist ein Suchprogramm, mit dem Sie Dateien und Ordner schneller finden können. Diese Funktionalität kann Ransomware aktivieren, um Informationen über alle Dateien und Ordner für spätere Verschlüsselung zu sammeln.
  • Masscan ist ein Port-Scan-Tool. Es wird häufig von Angreifern verwendet, um potenziell gefährdete Ports aufzulisten. Diese Tools können auch von Red Teams verwendet werden und sind nicht per se gefährlich, aber böswillige Akteure können sie verwenden, um eine Umgebung zu untersuchen, bevor sie sie angreifen.
Regel Wiederherstellung in Bootkonfigurationsdaten deaktiviert Wird ausgelöst, wenn Wiederherstellungsoptionen in den Bootkonfigurationsdaten deaktiviert sind. Dies könnte darauf hindeuten, dass ein böswilliger Akteur versucht, die Möglichkeit zur Wiederherstellung von Dateien nach einem Ransomware-Angriff zu deaktivieren.
Regel Suche nach Kennwortdateien mit findstr (Windows) Wird ausgelöst, wenn eine Suche für die Zeichenfolge password mithilfe des Befehls findstr durchgeführt wird. Dieses Verhalten kann auf einen zerstörerischen Akteur hinweisen, der nach Dateien sucht, die Kennwörter enthalten.
Regel Suche nach Kennwortdateien mit grep oder find (Unix) Wird ausgelöst, wenn eine Suche für die Zeichenfolge password mithilfe der Befehle grep oder find durchgeführt wird. Dieses Verhalten kann auf einen zerstörerischen Akteur hinweisen, der nach Dateien sucht, die Kennwörter auf einem Unix-System enthalten.
Regel Suche nach Kennwortdateien mithilfe von Select-String (Windows) Wird ausgelöst, wenn mit dem PowerShell-Befehl Select-String nach der Zeichenfolge password gesucht wird. Dieses Verhalten kann auf einen zerstörerischen Akteur hinweisen, der nach Dateien sucht, die Kennwörter enthalten.
Regel SharpHound PowerShell erkannt Wird ausgelöst, wenn ein SharpHound PowerShell-Script ausgeführt wird. Die im Skript verwendete Primärfunktion heißt invoke-BloodHound.
Regel Verdächtige Anzahl von Dateien, die auf demselben Rechner gelöscht wurden Wird ausgelöst, wenn eine verdächtige Anzahl von Dateien aus einer großen Anzahl verschiedener Ordner gelöscht wird. Dies könnte darauf hindeuten, dass ein Versuch unternommen wird, Services zu stören oder Spuren eines Angriffs zu verbergen.
Regel Verdächtige Anzahl von Dateien, die auf demselben Rechner umbenannt wurden (Windows) Wird ausgelöst, wenn eine verdächtige Anzahl von Dateien in Powershell umbenannt wird. Dies könnte auf das Vorhandensein von Ransomware hinweisen, die in der Regel Dateien verschlüsselt und umbenennt.
Regel Verdächtige Anzahl von umbenannten/verschobenen Dateien auf demselben Rechner (Unix) Wird ausgelöst, wenn eine verdächtige Anzahl von Dateien mit dem Befehl mv umbenannt wird. Dies könnte auf das Vorhandensein von Ransomware hinweisen, die in der Regel Dateien verschlüsselt und umbenennt.

In der folgenden Tabelle sind die Referenzdaten in IBM Security QRadar Endpoint aufgeführt.

Tabelle 26. Referenzdaten in IBM Security QRadar Endpoint
Typ Ihren Namen Beschreibung
Referenzset BadRabbit_FileHash Listet Dateihashes, die der BadRabbit Ransomware zugeordnet sind, auf.
Referenzset BadRabbit_FileName Listet Dateinamen auf, die der BadRabbit-Ransomware zugeordnet sind.
Referenzset BadRabbit_Hostname Listet Hostnamen auf, die der BadRabbit-Ransomware zugeordnet sind.
Referenzset BadRabbit_IP Listet IP-Adressen auf, die der BadRabbit-Ransomware zugeordnet sind.
Referenzset Petya_File_Name Listet Dateinamen auf, die der Petya- / Nicht-Petya-Ransomware zugeordnet sind.
Referenzset Petya_FileHash Listet Dateihashes in Verbindung mit der Petya- / Nicht-Petya-Ransomware auf.
Referenzset Petya_HostName Listet Hostnamen auf, die der Petya- / Nicht-Petya-Ransomware zugeordnet sind.
Referenzset Petya_IP Listet IP-Adressen auf, die der Petya- / Nicht-Petya-Ransomware zugeordnet sind.
Referenzset WCry_FileHash Listet Dateihashes in Verbindung mit der WannaCry-Ransomware auf.
Referenzset WCry_FileName Listet Dateinamen auf, die der WannaCry-Ransomware zugeordnet sind.
Referenzset WCry_HostName Listet Hostnamen auf, die der WannaCry-Ransomware zugeordnet sind.
Referenzset WCry_IP Listet IP-Adressen, die der WannaCry-Ransomware zugeordnet sind.

Die folgende Tabelle zeigt die gespeicherten Suchen in IBM Security QRadar Endpoint

Tabelle 27. Gespeicherte Suchen in IBM Security QRadar Endpoint
Ihren Namen Beschreibung
BadRabbit-Ereignis "DestinationIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten BadRabbit-Ziel-IP-Adresse an.
BadRabbit Event "FileHash" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten BadRabbit-Dateihash an.
BadRabbit-Ereignis "Hostname" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten BadRabbit-Hostnamen an.
BadRabbit-Ereignis "SourceIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten BadRabbit-Quellen-IP-Adresse an.
BadRabbit-Datenflüsse "DestinationIP" Letzte 24 Stunden Zeigt Datenflüsse mit einer bekannten BadRabbit-Ziel-IP-Adresse an.
BadRabbit Datenflüsse "SourceIP" Letzte 24 Stunden Zeigt Datenflüsse mit einer bekannten BadRabbit-Quellen-IP-Adresse an.
Abgehender UDP-Datenverkehr Zeigt abgehende Datenflüsse an, die UDP verwenden.
Petya- / Nicht-Petya-Ereignis "DestinationIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten Petya- / Nicht-Petya-Ziel-IP-Adresse an.
Petya- / Nicht-Petya-Ereignis "File Hash" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten Petya- / Nicht-Petya-Dateihash an.
Petya- / Nicht-Petya-Ereignis "SourceIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten Petya- / Nicht-Petya-Quellen-IP-Adresse an.
Petya- / Nicht-Petya-Datenflüsse "DestinationIP" Letzte 24 Stunden Zeigt Datenflüsse mit einer bekannten Petya- / Nicht-Petya-Ziel-IP-Adresse an.
Petya- /Nicht-Petya Datenflüsse "SourceIP" Letzte 24 Stunden Zeigt Datenflüsse mit einer bekannten Petya- / Nicht-Petya-Quellen-IP-Adresse an.
Petya-/ Nicht-Petya-Datenflüsse Letzte 24 Stunden Zeigt Datenflüsse an, die Petya / Nicht-Petya zugeordnet sind.
Potenzielle Ransomware (verdächtige Aktivitäten, möglicherweise Petya, Nicht-Petya) Zeigt Datenflüsse mit verdächtigen Payloads an, die Ransomware zugeordnet sind.
WannaCry-Ereignisse "Destination Hostname" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten WannaCry-Ziel-Hostnamen an.
WannaCry-Ereignisse "DestinationIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten WannaCry-Ziel-IP-Adresse an.
WannaCry-Ereignisse "File Hash" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten WannaCry-Dateihash an.
WannaCry-Ereignisse "Host Name" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten WannaCry-Hostnamen an
WannaCry Ereignisse "Source Host Name" Letzte 24 Stunden Zeigt Ereignisse mit einem bekannten WannaCry-Quellenhostnamen an.
WannaCry-Ereignisse "SourceIP" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten WannaCry-Quellen-IP-Adresse an.
WannaCry-Ereignisse "URL" Letzte 24 Stunden Zeigt Ereignisse mit einer bekannten WannaCry-URL an.
WannaCry-Datenflüsse Letzte 24 Stunden Zeigt die Datenflüsse an, die WannaCry zugeordnet sind.

(Zurück nach oben)

IBM Security QRadar Endpunkt 1.0.0

In der folgenden Tabelle sind die angepassten Eigenschaften in IBM Security QRadar Endpoint Content Extension 1.0.0aufgeführt.

Tabelle 28. Angepasste Eigenschaften in IBM Security QRadar Endpoint Content Extension 1.0.0
Ihren Namen Optimiert Gefunden in
Anwendung Ja Linux
Architektur Ja Linux
Protokollierungs-ID Ja Linux
Aufruftyp Ja Linux
Befehlsargumente Ja Linux
Codiertes Dateiverzeichnis Ja Linux
Codierter Dateiname Ja Linux
Dateiverzeichnis Ja
Dateierweiterung Ja
Dateiberechtigungen Ja
Dateiname Ja
Gruppenname Ja
Machine ID (Maschinen-ID) Ja
MD5-Hash Nein
Parent Process Name (Name des übergeordneten Prozesses) Ja
Process CommandLine (Prozessbefehlszeile) Ja
Prozessname Ja
Process Path (Prozesspfad) Ja
Satznummer Nein Linux
Registrierungsschlüssel Ja Microsoft Windows
Registrierungswertdaten Ja Microsoft Windows
Regelname Ja Microsoft Windows
SHA256-Hash Ja
Target User Name (Zielbenutzername) Ja
Typ der Tokenerweiterung Ja Microsoft Windows
UrlHost Ja
Benutzer-ID Ja

In der folgenden Tabelle sind die Regeln und Bausteine in IBM Security QRadar Endpoint 1.0.0aufgeführt.

Tabelle 29. Regeln und Bausteine in IBM Security QRadar Endpoint 1.0.0
Typ Ihren Namen Beschreibung
Baustein BB:BehaviorDefinition: Admin-Privilegien hinzugefügt (Unix) Erkennt Administratorberechtigungen, die Standardbenutzern hinzugefügt wurden. Ein Angreifer kann eine Berechtigungen für weitere Angriffe ausweiten.
Baustein BB:BehaviorDefinition: Admin-Berechtigungen hinzugefügt (Windows) Erkennt Administratorberechtigungen, die Standardbenutzern hinzugefügt wurden. Ein Angreifer kann eine Berechtigungen für weitere Angriffe ausweiten.
Baustein BB:BehaviorDefinition: Admin-Berechtigungen entfernt (Windows) Erkennt Berechtigungen, die aus einer Superusergruppe entfernt wurden. Ein Angreifer kann hohe Berechtigungen übergehen, um Aktionen zur Risikominderung von Administratoren zu verhindern.
Baustein BB:BehaviorDefinition: Hijacking des Komponentenobjektmodells Erkennt Hijack-Aktivitäten am Component Object Model (COM). Überwacht Einzelheiten an der Registry, die zum Laden eines anderen Prozesses möglicherweise geändert werden. Beispielsweise kann die Eingabeaufforderung so geändert werden, dass eine schädliche .exe-Datei gefolgt von einer Prozesserstellung ausgeführt wird.
Baustein BB:BehaviorDefinition: Regeln für Component Object Model Hijacking Erkennt COM-Hijacking-Aktivitäten (COM-Component Object Model) durch Überwachung von Registrierungsänderungen im Windows-Tooltip-Handler, Schlüssel, die die Anwendung enthalten, um einen DDE-Dialog (Dynamic Data Exchange) einzurichten, und Schlüssel, die den Pfad einer DLL (Dynamic Link Library) enthalten.
Baustein BB:BehaviorDefinition: Kritische Sicherheitswerkzeug-Prozessinformationen Erkennt, wenn eine Prüfnachricht Informationen zu einem kritischen Sicherheitstool als Antwort darauf aufzeichnet, dass die zugehörige PID von einem anderen Signal verwendet wird.
Baustein BB:BehaviorDefinition: Herunterladen von Dienstprogrammen in Events Erkennt, wenn ein Dienstprogramm zum Herunterladen auf einem Endpunkt verwendet wird, z. B. ftp, sftp, curl, cuteftp, wget, certutil, bits oder nc.
Baustein BB:BehaviorDefinition: Ermittlung von Gruppen oder Konten Stimmt überein, wenn eine Erkennungsaktion für die Gruppe oder das Konto ausgeführt wird.
Baustein BB:BehaviorDefinition: Versteckte Datei oder Ordner erstellt Wird beim Erstellen einer verdeckten Datei oder eines verdeckten Ordners ausgelöst. Eine verdeckte Datei oder ein verdeckter Ordner kann drei Formen annehmen:
  • Startet mit einem Punkt
  • Startet mit einem Punkt und enthält ein Leerzeichen
  • Basiert auf Berechtigungen (z. B. -rwx------)
Baustein BB:BehaviorDefinition: Kennwortrichtlinien-Ermittlung (Unix) Erkennt, wenn eine Erkennungsaktion für eine Kennwortrichtlinie ausgeführt wird. Dieser Baustein überwacht beispielsweise die folgenden Dateien:
  • /etc/login.defs
  • /etc/pam.d/common-password
  • /etc/pam.d/system-auth
  • /etc/security/pwquality.conf
Baustein BB:BehaviorDefinition: Kennwortrichtlinienentdeckung (Windows) Erkennt, wenn eine Erkennungsaktion für eine Kennwortrichtlinie ausgeführt wird.
Baustein BB:BehaviorDefinition: PowerShell Datei-Download-Aktivität Erkennt, wenn PowerShell zum Herunterladen von Dateien verwendet wird.
Baustein BB:BehaviorDefinition: Prozess abgebrochen Wird ausgelöst, wenn ein Linux -Prozess mit dem kill -Systemaufruf abgebrochen wird.
Baustein BB:BehaviorDefinition: Regular Endpoint Administration Definiert reguläre Verwaltungsaktivitäten wie Benutzerverwaltung, Herunterladen einer Datei in der Befehlszeile, Ausführung mit erhöhter Berechtigung.
Baustein BB:BehaviorDefinition: Als Superuser oder anderer Benutzer ausführen (Unix) Erkennt Programme, die vom Rootbenutzer oder einem anderen Benutzer ausgeführt werden.
Baustein BB:BehaviorDefinition: Als Superuser oder anderer Benutzer ausführen (Windows) Erkennt Programme, die vom Administrator oder einem andern Benutzer ausgeführt werden.
Baustein BB:BehaviorDefinition: Verdächtige Endpunktaktivitäten Definierte verdächtige Endpunktaktivitäten.
Baustein BB:BehaviorDefinition: Benutzerkonto hinzugefügt (Unix) Erkennt, wenn ein Benutzerkonto erstellt wird.
Baustein BB:BehaviorDefinition: Benutzerkonto hinzugefügt (Windows) Erkennt, wenn ein Benutzer- oder Gruppenkonto erstellt wird.
Baustein BB:BehaviorDefinition: Benutzerkonto gelöscht (Unix) Erkennt, wenn ein Benutzerkonto gelöscht wird.
Baustein BB:BehaviorDefinition: Benutzerkonto gelöscht (Windows) Erkennt, wenn ein Benutzer- oder Gruppenkonto gelöcht wird.
Baustein BB:CategoryDefinition: Dateidekodierung durch ein Dienstprogramm Erkennt, wenn Dateien mit einem Dienstprogramm entschlüsselt werden.
Baustein BB:CategoryDefinition: Dateiberechtigung geändert Erkennt, wann ein Befehl ausgeführt wurde, um die Berechtigungen zu ändern, die einer Datei zugeordnet sind.
Baustein BB:CategoryDefinition: Dateien mit sensiblen Berechtigungen Definiert Dateien, deren Berechtigungen nicht geändert werden sollten. Dies könnte das Verhalten eines Angreifers offenbaren, der versucht, eine normale Funktion zu verhindern. Dieser Baustein überwacht beispielsweise die folgenden Dateien:
  • /boot/
  • /etc/pam.d/
  • /etc/shadow
  • /etc/passwd
  • /etc/rsyslog/
  • /etc/openldap/
  • /etc/sysconfig/syslog
  • /etc/syslog.conf
  • /etc/sysconfig/network-scripts/
  • /etc/default/ufw
  • /etc/sudoers
Baustein BB:DeviceDefinition: Operating System Definiert alle Betriebssysteme auf dem System.
Regel Kommunikation mit einem potenziellen feindlichen Host Erkennt die Kommunikation mit einem möglicherweise feindlichen Host, der von X-force oder in der Gruppe der Referenzsets kategorisiert wird.
Regel Kommunikation mit einer potenziell feindlichen IP-Adresse Erkennt die Kommunikation mit einer möglicherweise feindlichen IP-Adresse, die von X-force oder in der Gruppe der Referenzsets kategorisiert wird.
Regel Speicherauszugsaktivitäten für Berechtigungsnachweise erkannt Wird ausgelöst, wenn Speicherauszugsaktivitäten für Berechtigungsnachweise in der Windows-Registry erkannt werden. Angreifer fragen möglicherweise die Registrierungsdatenbank nach Berechtigungsnachweisen und Kennwörtern ab, die für die Verwendung durch andere Programme oder Services gespeichert wurden, und werten diese Berechtigungsnachweise aus. Zu den Aktivitäten, bei denen Speicherauszüge für Berechtigungsnachweise erstellt werden, gehören beispielsweise die Folgenden:
  • Durchsuchen der Registry nach Kennwörtern, die vom System oder anderen Programmen verwendet werden können
  • Erstellen von Speicherauszügen für einen Hash mithilfe des Security Accounts Manager (SAM)
  • Ändern der WDigest-Registry, um das Speichen von Klartextkennwörtern zu ermöglichen.

Die folgenden AQL-Filterbedingungen zeigen Methoden zur Erstellung von Speicherauszügen für Berechtigungsnachweise an, die in dieser Regel implementiert sind. Jede Methode kann mit diesen AQL-Filtern zur Optimierung separat implementiert werden.

  1. Ein Angreifer kann Registrierungsschlüssel durchsuchen, indem er nach Kennwortwerten sucht: wenn das Ereignis mit LOWER ("Process CommandLine") MATCHES 'reg\s + query. * password. *' übereinstimmt. AQL-Filterabfrage.
  2. Es kann ein Speicherauszug für die Gruppe von Registrierungsschlüsseln erstellt werden und diese können von einem Angreifer zu böswilligen Zwecken ausgeleitet werden. Dies ist ein Hinweis auf die Erstellung von Speicherauszügen für Berechtigungsnachweise über den Security Accounts Manager (SAM): Wenn das Ereignis mit der AQL-Filterabfrage LOWER("Process CommandLine") MATCHES 'reg.*save.*(sam|system|security)' übereinstimmt.
  3. Diese Änderung des Registrierungsschlüssels zwingt wdigest, Berechtigungsnachweise in Klartext zu speichern, wenn sich jemand das nächste Mal bei diesem System anmeldet: wenn das Ereignis mit LOWER("Process CommandLine) MATCHES 'reg\s+(add|query).*uselogoncredential.*' übereinstimmt. AQL-Filterabfrage, wenn das Ereignis mit der AQL-Filterabfrage LOWER("Registry Key") MATCHES '\\system\\(controlset001|controlset002|currentcontrolset).*wdigest' übereinstimmt.
Regel Kritische Dateiberechtigung geändert (Unix) Wird ausgelöst, wenn die Berechtigungen von kritischen Dateien oder Verzeichnissen geändert werden. Ein Angreifer kann die Berechtigungen einer sicherheitskritischen Datei ändern, damit er der einzige Benutzer wird, der darauf zugreifen kann, um anschließend die Datei unberechtigt zu verändern, Daten zu vernichten oder Sicherheitstools zu inaktivieren.
Hinweis: Bearbeiten Sie den Baustein BB:CategoryDefinition: Dateien mit sensiblen Berechtigungen mit den zu überwachenden Dateien oder Verzeichnissen. Diese Positionen sollten sich auf das Booten, Sichern, Protokollieren oder auf Berechtigungen beziehen, die bei der Nutzung eine höhere Bewertung aufweisen.
Regel Kritische Sicherheitstools beendet (Unix) Erkennt, wenn ein kritischer Sicherheitsprozess gestoppt wurde. Ein Angreifer kann Sicherheitstools inaktivieren, um die Erkennung zu verhindern.
Hinweis: Die in dieser Regel enthaltenen Bausteine verwenden das Referenzset Critical Security Tool Processes . Das Referenzset Critical Security Tool Processes ist bereits mit den gängigen Prozessnamen für Sicherheitstools ausgefüllt. Sie können das Referenzset mit jedem Tool optimieren, das von Ihrem Unternehmen verwendet wird.
Regel Kritisches Sicherheitstool gestoppt Wird ausgelöst, wenn die Berechtigungen von kritischen Dateien oder Verzeichnissen geändert werden. Ein Angreifer kann die Berechtigungen einer sicherheitskritischen Datei ändern, damit er der einzige Benutzer wird, der darauf zugreifen kann, um anschließend die Datei unberechtigt zu verändern, Daten zu vernichten oder Sicherheitstools zu inaktivieren.
Hinweis: Das Referenzset Critical Security Tool Processes wurde vorab mit allgemeinen Prozessnamen für Sicherheitstools gefüllt. Sie können das Referenzset mit jedem Tool optimieren, das von Ihrem Unternehmen verwendet wird.
Regel Erkennung von zerstörerischer IOC Erkennt, wenn ein IOC in einer Gruppe von Referenzsets als schädlich kategorisiert ist.
Regel Mit Überschreiben von rechts nach links erstellte Datei Wird ausgelöst, wenn das Zeichen Rechts-nach-links-Zwang (U+202E) im Namen einer erstellten Datei gefunden wird. Bei einigen Betriebssystemen verarbeitet die grafische Oberfläche dieses Zeichen und kehrt die Reihenfolge der Anzeige von Teilen des Dateinamens um.
Regel Datei mit Leerzeichen nach Dateiname erstellt Wird ausgelöst, wenn das letzte Zeichen eines Dateinamens ein Leerzeichen ist. Das Betriebssystem wird gezwungen, den Dateityp zu erkennen und entsprechend auszuführen, selbst wenn es eine gültige Dateierweiterung gibt. Beispielsweise sollte ein Shell-Script mit der Bezeichnung info.txt als Textdatei geöffnet werden, während info.txt (hier mit Leerzeichen nach dem Namen) mit dem entsprechenden Standardprogramm zur Verarbeitung von Shell-Scripts geöffnet wird.
Regel Dateidekodierung- oder Download gefolgt von verdächtiger Aktivität Wird ausgelöst, wenn Dienstprogramme wie beispielsweise 'certutil' zum Entschlüsseln einer Datei verwendet werden. Dies könnte darauf hindeuten, dass ein böswilliger Benutzer eine verschlüsselte Datei herunterlädt und die Datei dekodiert, um die Sicherheit zu umgehen.
Regel Entwendung potenzieller Component Object Model (COM) Erkennt mögliche Hijack-Aktivitäten am Component Object Model (COM). Ein Angreifer kann schädlichen Programmcode ausführen, indem zulässige COM-Referenzen entwendet werden.
Regel Potenzielle DLL-Hijacking Wird ausgelöst, wenn eine DLL-Datei (Dynamic Link Library) erstellt oder heruntergeladen und von einer Anwendung geladen wird. Dies kann auf das Hijacking einer DLL-Suchreihenfolge hinweisen.
Hinweis: Schließen Sie zu überwachende Prozesse aus, um Fehlalarme zu reduzieren.
Regel Potenzielle bösartige Anwendung Shimming Erkennt Aktivitäten zur Verwendung von Shims für Anwendungen, indem Änderungen an der Registry überwacht werden. Angreifer können Retrokompatibilitätsfunktionen verwenden, um eine Berechtigungseskalation durchzuführen, Hintertüren zu installieren usw. Angepasste Datenbanken befinden sich an den folgenden Positionen:
  • %WINDIR%\AppPatch\Custom
  • %WINDIR%\AppPatch\CustomSDB
  • %WINDIR%\AppPatch\AppPatch64\Custom
Hinweis: Das Referenzset Shims Allowlist wird mit Standardshims gefüllt, die vom Windows-Standardinstallationsprogramm installiert werden. Sie können dieses Referenzset mit allen benutzerdefinierten Shims optimieren.
Regel Prozessmaskierung (Unix) Wird ausgelöst, wenn ein Prozess aus einem Verzeichnis ausgeführt wird, aus dem er nicht ausgeführt werden sollte. Ein Angreifer kann einen zulässigen Prozess maskieren, um eine Erkennung zu vermeiden, und dadurch schädliche Befehle aus dem nicht zulässigen Prozess ausführen.
Anmerkung : Optimieren Sie diese Regel, um ein Verzeichnis ein-oder auszuschließen.
Regel Prozessmasquerading (Windows) Wird ausgelöst, wenn ein sensibler Prozess aus einem nicht zulässigen Verzeichnis ausgeführt wird. Ein Angreifer kann einen zulässigen Prozess maskieren, um eine Erkennung zu vermeiden, und dadurch schädliche Befehle aus dem nicht zulässigen Prozess ausführen.
Hinweis: Das Referenzset Sensitive Process Names wird mit bekannten sensiblen Prozessen gefüllt. Sie können dieses Referenzset mit den Prozessen optimieren, die beobachtet überwacht werden sollen. Die Referenzzuordnungsgruppe Default Process Name and Process Directories wurde bereits mit den Namen von sensiblen Prozessen und Verzeichnissen ausgefüllt. Sie können diese Referenzdaten durch die Standardposition von sensiblen Prozessen optimieren.
Regel Von einem verdächtigen Prozess gestartete Programmierumgebung Wird ausgelöst, wenn eine Programmierumgebung durch einen verdächtigen Prozess gestartet wird. Dies kann auf einen Angreifer hinweisen, der versucht, ein schädliches Script auszuführen.
Regel Empfohlene Blockierte Prozesse werden ausgeführt Erkennt einen empfohlenen Blockierungsprozess, der im System ausgeführt wird. Microsoft Windows listet empfohlene Blockierungsregeln auf, um Anwendungen zu deaktivieren, die potenziell von einem Angreifer ausgenutzt werden können und auch die Windows Defender Application Control umgehen.
Hinweis: Das Referenzset Recommended Blocked Processes enthält bereits die häufig genutzten Microsoft-Anwendungen. Sie können das Referenzset mit allen Endpunktprozessen optimieren, die für Ihre Geschäftsanforderungen erforderlich sind.
Regel Verdächtige Aktivität gefolgt von Endpunktverwaltungstask Erkennt, dass normale Verwaltungstasks (Download einer Datei, Aktualisierung von Benutzerberechtigungen, Ausführung als anderer Benutzer usw.) ausgeführt werden, nachdem eine verdächtige Aktivität auf der gleichen Maschine erkannt wurde.
Regel Benutzeraccounterstellung gefolgt von Accountlöschung Wird ausgelöst, wenn ein Benutzer innerhalb eines kurzen Zeitraums erstellt und gelöscht wird. Dies könnte darauf hindeuten, dass ein Angreifer oder eine Schadsoftware versucht, sich zu verstecken oder der Entdeckung zu entgehen, indem sie verschiedene Benutzerkonten verwendet oder das System bombardiert.

In der folgenden Tabelle sind die Referenzdaten in IBM Security QRadar Endpoint 1.0.0aufgeführt.

Tabelle 30. Referenzdaten in IBM Security QRadar Endpoint 1.0.0
Typ Ihren Namen Beschreibung
Referenzzuordnung von Gruppen Default Process Name and Process Directories In dieser Gruppe von Referenzzuordnungen werden sensible Prozesse und die zugehörigen Verzeichnisse aufgeführt.
Referenzdaten pulse_imports Teil des Dashboards 'Pulse'.
Referenzset Anonymizer IPs Listet identifizierte Anonymisierungs-IP-Adressen auf.
Referenzset Botnet C&C IPs Listet die IP-Adressen identifizierter Botnet-Befehls- und Kontrollserver auf.
Referenzset Botnet IPs Listet identifizierte Botnet-IP-Adressen auf.
Referenzset Critical Security Tool Processes Listet kritische Sicherheitstools auf.
Referenzset Malicious URLs Listet identifizierte schädliche URLs auf.
Referenzset Malware Hashes MD5 Listet identifizierte md5-Malware-Hashes auf.
Referenzset Malware Hashes SHA Listen identifizierte sha256-Malware-Hashes auf.
Referenzset Malware IPs Listet identifizierte Malware-IP-Adressen auf.
Referenzset Malware URLs Listet identifizierte Malware-URLs auf.
Referenzset Phishing IPs Listet identifizierte phishing-IP-Adressen auf.
Referenzset Phishing URLs Listet identifizierte phishing-URLs auf.
Referenzset Recommended Blocked Processes Listet Prozesse auf, die blockiert werden sollten.
Referenzset Sensitive Process Names Listet sensible Prozesse auf.
Referenzset Shims Allowlist Listet Anwendungen des Shimming-Registers auf.

(Zurück nach oben)