Punto final

Utilice IBM Security QRadar Endpoint Content Extension para supervisar de cerca los puntos finales Linux® y Windows de su despliegue.

Importante: Para evitar errores de contenido en esta extensión de contenido, mantenga actualizados los DSM asociados. Los DSM se actualizan como parte de las actualizaciones automáticas. Si las actualizaciones automáticas no están activadas, descargue la versión más reciente de los DSM asociados desde IBM® Fix Central (https://www.ibm.com/support/fixcentral).

Endpoint Content Extension incluye uno o más cuadros de mando QRadar Pulse. Para obtener más información sobre los cuadros de mando de QRadar Pulse, consulte QRadar Pulse app.

Configure los puntos finales Linux y Windows que desea supervisar para utilizarlos con esta extensión de contenido.

Punto final de IBM Security QRadar

IBM Seguridad QRadar Endpoint 3.1.0

La siguiente tabla muestra las reglas nuevas y actualizadas, y los bloques de construcción en IBM Security QRadar Endpoint Content Extension 3.1.0.

Tabla 1. Reglas en IBM Security QRadar Endpoint Content Extension 3.1.0
Tipo Nombre Descripción
Regla PowerShell Base64 Invoke Expression Comandos sospechosos Regla para detectar comandos PS Base64 por ejemplo, IEX, invoke-expression, e Invoke-Expression basados en los IDs de Evento 4688 o 4104 o 1.
Regla PowerShell Invoke Expression Comandos sospechosos Regla para detectar PowerShell comando sospechoso Invoke Expression en texto plano basado en Event IDs 4688, 4104, y 1
Regla Archivo ejecutable invocado desde la carpeta AppData El directorio AppData está oculto por defecto y su contenido no suele ser modificado por el usuario. Las aplicaciones ejecutables que se ejecutan desde el directorio de datos de aplicaciones deben ser evaluadas, ya que este comportamiento es utilizado a menudo por actores maliciosos.
Regla Ejecutable desde C:Users\Public Un archivo ejecutable ejecutado desde una ubicación C:Users\Public debe ser evaluado, ya que este comportamiento es utilizado a menudo por actores maliciosos.
Regla PowerShell Comando codificado La codificación de comandos es utilizada a menudo por los actores maliciosos para ofuscar su actividad.
Regla PowerShell Eludir la política de ejecución Eludir la política de ejecución es una técnica que se utiliza habitualmente para eludir la política de ejecución de PowerShell y debe ser objeto de un triaje, ya que este comportamiento es utilizado a menudo por actores maliciosos.
Regla PowerShell A Base64 Cadena Base 64 es un esquema de codificación y a menudo es utilizado por actores maliciosos para ofuscar su actividad.

(Volver arriba)

IBM Seguridad QRadar Endpoint 3.0.0

La siguiente tabla muestra las reglas nuevas y actualizadas, y los bloques de construcción en IBM Security QRadar Endpoint Content Extension 3.0.0.

Tabla 2. Reglas en IBM Security QRadar Endpoint Content Extension 3.0.0
Tipo Nombre Descripción
Regla Posible archivo Javascript malicioso invocado a través de WScript Esta regla está diseñada para detectar la ejecución de un archivo JavaScript mediante Wscript. Esta es una táctica conocida que es utilizada por múltiples programas maliciosos como SocGholish, Gootloader.
Regla Posible archivo Javascript malicioso invocado a través de CScript Esta regla está diseñada para detectar la ejecución de un archivo JavaScript mediante Cscript. Esta es una táctica conocida que es utilizada por múltiples programas maliciosos como SocGholish, Gootloader.
Regla Explotación potencial de Sharepoint ToolShell CVE-2025-53770 Está diseñado para detectar la creación de un WebShell que se sabe que se utiliza en el posible exploit de la vulnerabilidad de Sharepoint ToolShell CVE-2025-53770.
Regla Explotación potencial de Sharepoint ToolShell CVE-2025-53770 - Ruta de archivo Está diseñado para detectar el tipo de archivo específico que se ejecuta desde la ruta de archivo conocida que se utiliza en la explotación de la vulnerabilidad de Sharepoint ToolShell CVE-2025-53770. Esto podría ser un indicador de compromiso o ser parte de una prueba interna para esta vulnerabilidad y requiere más investigación.

(Volver arriba)

IBM Seguridad QRadar Endpoint 2.9.0

La siguiente tabla muestra las reglas nuevas y actualizadas, y los bloques de construcción en IBM Security QRadar Endpoint Content Extension 2.9.0.

Tabla 3. Reglas en IBM Seguridad QRadar Endpoint Content Extension 2.9.0
Tipo Nombre Descripción
Regla PowerShell Bajar Ataque Esta regla se activa cuando un adversario podría revertir PowerShell a la versión 4 o anterior del motor.
Regla Ejecutables iniciados en carpeta sospechosa La regla se activa cuando se detecta una ejecución sospechosa en una carpeta poco común.
Regla MavInject Inyección de procesos Esta regla se dispara cuando se detecta la inyección de procesos mediante la herramienta MavInject de Windows a través del nombre del proceso, o parámetro de línea de comandos.
Regla Ejecución de la herramienta Rubeus Hack Esta regla se activa cuando se detecta la ejecución de la herramienta de pirateo Rubeus a través del nombre del proceso o de parámetros de la línea de comandos.
Regla Pipa con nombre malicioso Esta regla se activa cuando se detecta la creación o conexión a una tubería con nombre que es utilizada por malware conocido.
Regla Ping IP Hex Esta regla se activa cuando se detecta que el comando ping se ejecutó con una dirección IP en forma hexadecimal.
Regla Nueva tecla RUN apuntando a carpeta sospechosa Esta regla se activa cuando se crea una clave de ejecución en el registro para el Explorador de Windows, apuntando a una carpeta sospechosa.
Regla Adición de historial de SID a Active Directory Esta regla se activa cuando se añade un atributo SID History a un objeto Active Directory.
Regla Potencial LSASS.exe Actividad de volcado de credenciales Esta regla se activa cuando se detecta el acceso SAM_DOMAIN por parte del archivo LSASS.exe, lo que indica actividades como el volcado de credenciales.
Regla Comandos maliciosos PowerShell Esta regla se activa cuando se detecta la ejecución de un Commandlet PowerShell de un marco de explotación PowerShell conocido.
Regla PowerShell Llamada desde una versión de ejecutable no coincidente Esta regla detecta cuando PowerShell es llamado desde un archivo ejecutable arbitrario comparando las versiones de Host y Engine.
Regla Catálogo de copias de seguridad eliminado Esta regla se activa cuando se ejecuta un comando para eliminar el catálogo de copias de seguridad almacenado en el equipo local.
Regla Acceso a los datos de inicio de sesión del navegador Esta regla se activa cuando se ven o recuperan las credenciales de inicio de sesión almacenadas (como nombres de usuario y contraseñas) por los navegadores web. La regla podría indicar un adversario que adquiere credenciales de navegadores web leyendo los archivos específicos del navegador objetivo.
Regla Ejecución de Java con depuración remota Esta regla se activa cuando un proceso Java se ejecuta con la depuración remota activada, permitiendo conexiones desde fuentes distintas al host local.
Regla Potencial reconocimiento de credenciales en caché a través de Cmdkey.exe Esta regla se activa cuando se detecta el uso de cmdkey para buscar credenciales almacenadas en caché en el sistema. La regla podría indicar que un adversario está intentando acceder a credenciales de dominio almacenadas en caché para permitir la autenticación en caso de que un controlador de dominio no esté disponible.
Nota: Por defecto, la regla está desactivada porque cmdkey se puede utilizar para tareas administrativas legítimas. Active esta regla si desea identificar el uso de la línea de comandos indicativo de reconocimiento de credenciales almacenadas en caché.
Regla Instalación de DLL de llamadas DHCP Esta regla se activa cuando se detecta la instalación de una DLL de Callout a través del parámetro CalloutDlls y CalloutEnabled en el Registro. La regla podría indicar el uso de CalloutDlls para ejecutar código en el contexto del servidor DHCP.
Regla Active Directory Backdoor de Usuario Esta regla detecta cuando un usuario puede controlar otra cuenta sin especificar las credenciales de la cuenta de destino.
Regla PowerShell Descargar y ejecutar Archivo Esta regla se activa cuando un comando PowerShell descarga y ejecuta un archivo remoto.
Regla NTDS.dit Actividad de recuperación de hash de dominio Esta regla se activa cuando un comando sospechoso podría estar relacionado con intentos de recuperar hashes del archivo NTDS.dit.
Regla InvisiMole Wrapper DLL cargada Esta regla se activa cuando se detecta actividad de proceso asociada al cargador InvisiMole.
Bloque de construcción BB:BehaviorDefinition: Ejecución arbitraria de scripts a través de Diskshadow.exe o Vshadow.exe El bloque de construcción se activa cuando se inicia el archivo diskshadow.exe o vshadow.exe con un parámetro para ejecutar un script arbitrario. El bloque de construcción podría indicar un intento malicioso de acceder a archivos sensibles como NTDS.dit.
Bloque de construcción BB:BehaviorDefinition: Listado de conexiones de red mediante Get-NetTCPConnection El Building Block se activa cuando una consulta de información a través de la red genera una lista de conexiones de red.
Bloque de construcción BB:BehaviorDefinition: actividad de descarga de archivo de PowerShell El Building Block detecta cuándo se utiliza PowerShell para descargar archivos.

La siguiente tabla muestra las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.9.0.

Tabla 4. Propiedades personalizadas en IBM Seguridad QRadar Endpoint Content Extension 2.9.0
Nombre Optimizada Se encuentra en
Historia del ID TRUE Microsoft Windows
Versión del motor TRUE Microsoft Windows
Delegación FALSE Microsoft Windows
Clase de objeto FALSE Microsoft Windows
Nombre de visualización de LDAP FALSE Microsoft Windows
Versión del host TRUE Microsoft Windows
Nombre de conducto TRUE Microsoft Windows

(Volver arriba)

IBM Seguridad QRadar Endpoint 2.8.3

La siguiente tabla muestra las reglas nuevas y actualizadas, y los bloques de construcción en IBM Security QRadar Endpoint Content Extension 2.8.3.

Tabla 5. Reglas en IBM Seguridad QRadar Extensión de contenido de punto final 2.8.3
Tipo Nombre Descripción
Regla Múltiples anomalías de inicio de sesión debidas a una contraseña incorrecta

Detecta el ataque de pulverización de contraseñas.
Regla Posible intento de fuerza bruta

Detecta el ataque de fuerza bruta.
Regla Remoto: Acceso VNC desde Internet

Se activa cuando se detecta una aplicación de Virtual Network Computing (VNC) desde Internet a un host local.
Regla Remoto: Acceso de escritorio remoto desde Internet

Se activa cuando se detecta el Protocolo de Escritorio Remoto (RDP) de Microsoft desde Internet a un host local.
Regla Inicio de sesión de cuentas válidas sospechosas

Se desencadena cuando se detecta un inicio de sesión sospechoso desde una cuenta válida.
Regla Padre sospechoso para un proceso

Se activa cuando un proceso que no debe tener hijos inicia un proceso.
Regla Archivo crítico suprimido

Se activa cuando se elimina un archivo crítico o un archivo de un directorio crítico.
Regla Fichero Crítico Modificado seguido de Actividad Sospechosa

Se activa cuando se modifican archivos o directorios críticos y se produce una actividad sospechosa.
Regla Comunicación con una dirección IP posiblemente hostil

Se activa cuando se produce una comunicación con una dirección IP potencialmente hostil. Las posibles direcciones IP hostiles se registran en IBM X-force o en la colección de conjuntos de referencia personalizados.
Regla Se ha detectado un uso del módulo PSExec sospechoso

Se desencadena cuando se detecta un uso del módulo PSExec.
Regla Servicio configurado para utilizar PowerShell

Se desencadena cuando un servicio está configurado para utilizar Powershell.
Regla Ransomware: IOC de Ryuk en sucesos

Se activa cuando se observa un IOC (File Hash) relacionado con el ransomware Ryuk en los eventos.
Regla Ransomware: IOC de Ryuk en flujos

Se activa cuando se observa un IOC (File Hash) relacionado con el ransomware Ryuk en los flujos.
Regla Volcar credenciales de Windows Credential Manager con PowerShell

Detecta un intento de búsqueda de lugares comunes de almacenamiento de contraseñas para obtener credenciales de usuario.
Regla Enumerar credenciales de Windows Credential Manager con PowerShell

Detecta intentos consecutivos de búsqueda de ubicaciones comunes de almacenamiento de contraseñas para obtener credenciales de usuario.
Regla Suplantación de señales a través de PowerShell

Detecta un intento de utilizar funciones de la API de Windows relacionadas con la suplantación o el robo de tokens.
Regla Regsvr32 Conexión de red de salida

Detecta las conexiones salientes iniciadas por el archivo regsvr32.exe.
Regla Conexión de red de salida de Dllhost

Detecta las conexiones salientes iniciadas por el archivo dllhost.exe.
Regla RunDLL32 Conexión de red de salida

Detecta las conexiones salientes iniciadas por el archivo rundll32.exe.
Regla Ransomware: Carga útil de Petya/NotPetya en flujos

Se activa cuando se observa una carga útil de Petya en los flujos.
Regla Abuso de señal de acceso

Detecta la suplantación y el robo de señales. (Ejemplo: DuplicateToken(Ex) y ImpersonateLoggedOnUser con la bandera LOGON32_LOGON_NEW_CREDENTIALS)
Regla Detección del COI del Registro de Turla en sucesos

Se desencadena cuando se reconoce un IOC como un valor de registro de Turla.
Regla Potencial StandIn

Se activa cuando se detecta un comportamiento potencialmente perteneciente a X-Force Red StandIn.
Bloque de construcción BB:CategoryDefinition: archivos con permisos confidenciales

Se activa cuando el directorio de trabajo actual (CWD) se detecta en los siguientes directorios:

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron* (por ejemplo /etc/cron.hourly, /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

Los siguientes archivos están bajo vigilancia:

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
Bloque de construcción BB:CategoryDefinition: Directorio de trabajo actual sensible

Define los directorios de trabajo actuales sensibles que activan las alertas de ataque de traspaso de directorios.
Bloque de construcción BB:CategoryDefinition: Archivo sensible accedido

Define una regla que se activa cuando el directorio de trabajo actual (CWD) se detecta en los siguientes directorios:

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron* (por ejemplo /etc/cron.hourly, /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

Los siguientes archivos están bajo vigilancia:

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de directorios (Windows)

Define cuándo se utiliza el comando PowerShell Get-ChildItem para descubrir directorios de forma recursiva. Este evento se produce cuando se especifica el parámetro -Recurse o cuando el comando se utiliza dentro de un bucle ForEach.
Bloque de construcción BB:BehaviorDefinition: Potencial StandIn Post-Compromise Traffic

Se dispara cuando se observa un proceso relacionado con la herramienta StandIn. StandIn es una herramienta de pruebas de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos pueden utilizar esta aplicación para realizar ataques.
Bloque de construcción BB:BehaviorDefinition: Potencial StandIn Post-Compromise Persistence Traffic

Se dispara cuando se observan comandos de persistencia relacionados con la herramienta StandIn. StandIn es una herramienta de pruebas de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos pueden utilizar esta aplicación para realizar ataques.
Bloque de construcción BB:BehaviorDefinition: Potencial StandIn Tráfico de Evasión de la Defensa Post-Compromiso

Se activa cuando se observan comandos de evasión de defensa relacionados con la herramienta StandIn. StandIn es una herramienta de pruebas de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos pueden utilizar esta aplicación para realizar ataques.
Bloque de construcción BB:BehaviorDefinition: Potencial StandIn Post-Compromise Privilege Escalation Traffic

Se dispara cuando se observan comandos de escalada de privilegios relacionados con la herramienta StandIn. StandIn es una herramienta de pruebas de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos pueden utilizar esta aplicación para realizar ataques.
Bloque de construcción BB:BehaviorDefinition: Potencial StandIn Post-Compromise Enumeration Traffic

Se dispara cuando se observan comandos de enumeración relacionados con la herramienta StandIn. StandIn es una herramienta de pruebas de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos pueden utilizar esta aplicación para realizar ataques.

(Volver arriba)

IBM Security QRadar Punto final 2.8.2

En la tabla siguiente se muestran las reglas de IBM Security QRadar Endpoint Content Extension 2.8.2.

Tabla 6. Reglas en IBM Security QRadar Endpoint Content Extension 2.8.2
Tipo Nombre Descripción
Regla Servicio configurado para utilizar Pipe

Se desencadena cuando un servicio está configurado para utilizar un conducto. Esto podría indicar que un atacante obtiene acceso al sistema de un usuario mediante el escalamiento de privilegios utilizando getsystem.

(Volver arriba)

IBM Security QRadar Punto final 2.8.1

La tabla siguiente muestra las nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.8.1.

Tabla 7. Nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.8.1
Tipo Nombre Descripción
Regla Mandatos de vulnerabilidad de seguridad de transferencia MOVEit

Detecta la vulnerabilidad de transferencia MOVEit mediante el indicador de línea de mandatos de compromiso.
Regla Nombres de archivo de vulnerabilidad de transferencia MOVEit

Detecta explotación de vulnerabilidad de transferencia MOVEit a través del indicador de nombre de archivo de compromiso.
Regla Hashes de explotación de vulnerabilidad de transferencia MOVEit

Detecta la vulnerabilidad de transferencia MOVEit mediante el indicador hash de compromiso.

(Volver arriba)

IBM Security QRadar Punto final 2.8.0

En la tabla siguiente se muestran las nuevas reglas y componentes básicos en IBM Security QRadar Endpoint Content Extension 2.8.0.

Tabla 8. Nuevas reglas y componentes básicos en IBM Security QRadar Endpoint Content Extension 2.8.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Manipulación de cuentas - Motivos sospechosos de inicio de sesión fallido Detecta códigos de error poco comunes en el inicio de sesión fallido para determinar la actividad sospechosa y la manipulación indebida de cuentas que se han inhabilitado o restringido de alguna manera.
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de cuentas en la nube Detecta mandatos de descubrimiento de cuenta de nube.
Bloque de construcción BB:BehaviorDefinition: Cloud Firewall Modificado o Detenido Detecta el cortafuegos de nube, modificado o detenido.
Bloque de construcción BB:BehaviorDefinition: Crear Proceso con Token Detecta la creación de tokens desde PowerShell.
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de cuentas de correo electrónico desde PowerShell Detecta el descubrimiento de cuentas de correo electrónico desde PowerShell.
Bloque de construcción BB:BehaviorDefinition: Contraseña no válida al iniciar sesión Detecta una contraseña no válida en el inicio de sesión.
Bloque de construcción BB:BehaviorDefinition: Contraseña inválida durante Kerberos Pre-Autenticación Detecta un inicio de sesión de contraseña no válido durante la autenticación previa de Kerberos .
Bloque de construcción BB:BehaviorDefinition: Permiso de buzón añadido Detecta los permisos de buzón añadidos
Bloque de construcción BB:BehaviorDefinition: Posibles tareas de acceso inicial Define las posibles tareas de acceso inicial. Esto incluye actividades como: descubrimiento de cuentas, detención de cortafuegos o cambio de permisos.
Bloque de construcción BB:BehaviorDefinition: Suplantación de identidad de tuberías Detecta un intento de escalamiento de privilegios a través de una suplantación de conducto con nombre deshonesta.
Bloque de construcción BB:BehaviorDefinition: Cambio sospechoso de agente de usuario Detecta un cambio sospechoso del agente de usuario. Los adversarios pueden comunicarse utilizando protocolos de capa de aplicación asociados con el tráfico web para evitar la detección o el filtrado de red al mezclarse con el tráfico existente.
Bloque de construcción BB:BehaviorDefinition: Conexiones SMTP salientes sospechosas Detecta una posible exfiltración a través del protocolo SMTP.
Bloque de construcción BB:BehaviorDefinition: Inicio de sesión remoto sospechoso con credenciales explícitas Detecta procesos sospechosos que inician sesión con credenciales explícitas.
Bloque de construcción BB:BehaviorDefinition: Usuario Añadido a Administradores Locales Detecta las cuentas de usuario que se añaden al grupo de administradores local, que podría ser una actividad legítima o un signo de actividad de escalamiento de privilegios.
Bloque de construcción BB:BehaviorDefinition: Agente de usuario cambiado mediante Curl Detecta el agente de usuario cambiado a través de curl.
Bloque de construcción BB:BehaviorDefinition: Agente de usuario cambiado a través de PowerShell Detecta el agente de usuario cambiado a través de PowerShell.
Bloque de construcción BB:BehaviorDefinition: Firewall de Windows Detenido Detecta un cortafuegos de Windows detenido.
Regla Abuso de señal de acceso Detecta la suplantación y el robo de señales. (Ejemplo: DuplicateToken(Ex) y ImpersonateLoggedOnUser con la bandera LOGON23_LOGON_NEW_CREDENTIALS)
Regla Conexión de red de salida de Dllhost Detecta las conexiones de salida iniciadas por dllhost.exe.
Regla Volcar credenciales de Windows Credential Manager con PowerShell Detecta adversarios que buscan ubicaciones de almacenamiento de contraseñas comunes para obtener credenciales de usuario.
Regla Enumerar credenciales de Windows Credential Manager con PowerShell Detecta adversarios que buscan ubicaciones de almacenamiento de contraseñas comunes para obtener credenciales de usuario.
Regla Actividad de registro de historial de mandatos de impair detectada Detecta la actividad de anotación cronológica de historial de mandatos.
Regla Múltiples anomalías de inicio de sesión debidas a una contraseña incorrecta Detecta un adversario que realiza la dispersión de contraseñas.
Regla Múltiples anomalías de inicio de sesión de cuentas predeterminadas Detecta varias anomalías de inicio de sesión de las cuentas predeterminadas.
Regla Posible intento de fuerza bruta Detecta al adversario que realiza la fuerza bruta.
Regla Exfiltración potencial de credenciales almacenadas de los navegadores Detecta una posible exfiltración de credenciales almacenadas en los navegadores.
Regla PPID Sppofing detectado Detecta la suplantación de PPID en el sistema.
Regla Regsvr32 Conexión de red de salida Detecta las conexiones salientes iniciadas por el archivo regsvr32.exe.
Regla RunDLL32 Conexión de red de salida Detecta las conexiones salientes iniciadas por el archivo rundll32.exe.
Regla Actividad sospechosa seguida de una tarea de acceso inicial potencial Se desencadena cuando se realizan posibles tareas de acceso inicial, seguidas de actividad sospechosa. Las tareas de acceso inicial incluyen: descubrimiento de cuentas, desactivación del cortafuegos, etc.
Regla Credenciales almacenadas desde Windows Detecta credenciales almacenadas desde Windows.
Regla Inyección de historial de SID Detecta actividades de inyección de historial de SID (identificador de seguridad).
Regla Inicio de sesión de cuentas válidas sospechosas Se desencadena cuando se detecta un inicio de sesión sospechoso desde una cuenta válida.
Regla Suplantación de señales a través de PowerShell Detecta adversarios que aprovechan las funciones de la API de Windows relacionadas con la suplantación o el robo de señales.

A continuación se muestra una lista de las nuevas propiedades personalizadas en la extensión de contenido IBM Security QRadar Endpoint 2.8.0 .

Nombre Descripción Optimizada
Paquete de autenticación Extracción personalizada predeterminada de Paquete de autenticación desde la carga útil de DSM. Sí
Valor nuevo de atributo Extracción personalizada predeterminada de Valor nuevo de atributo desde la carga útil de DSM. Nee
Descripción Extracción personalizada predeterminada de Descripción de la carga útil de DSM. Nee
Iniciado Extracción personalizada predeterminada de Iniciado desde la carga útil de DSM. Sí
Nivel de suplantación Extracción personalizada predeterminada de Nivel de suplantación desde la carga útil de DSM. Sí
Proceso de inicio de sesión Extracción personalizada predeterminada del proceso de inicio de sesión desde la carga útil de DSM. Sí
Nombre de servidor de destino Extracción personalizada predeterminada de Nombre de servidor de destino desde la carga útil de DSM. Nee

(Volver arriba)

IBM Security QRadar Punto final 2.7.2

La tabla siguiente muestra las nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.7.2.

Tabla 9. Nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.7.2
Tipo Nombre Descripción
Regla Detección del IOC de directorio y nombre de archivo de Turla en sucesos Se desencadena cuando se reconoce un IOC como una combinación de directorio y nombre de archivo de Turla.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección de IOC de nombre de archivo de Turla en eventos Se desencadena cuando se reconoce un IOC como un nombre de archivo relacionado con Turla.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección de Turla Hash IOC en eventos Se desencadena cuando un IOC se reconoce como un hash de Turla.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección de IOC de IP de Turla en sucesos Se desencadena cuando se reconoce un IOC como una IP de Turla conocida.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección del IOC del registro de Turla en eventos Se desencadena cuando se reconoce un IOC como un valor de registro de Turla.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección del COI del anfitrión de la URL Turla en sucesos Se activa cuando un IOC es reconocido como un host URL Turla conocido.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
Regla Detección de Turla URL IOC en eventos Se activa cuando un COI es reconocido como una URL Turla conocida.
Nota: Las reglas Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events se han excluido de esta regla para evitar repeticiones, su finalidad es tener una respuesta de regla dedicada.
A continuación se muestra una lista de los nuevos conjuntos de referencia en la extensión de contenido IBM Security QRadar Endpoint 2.7.2 .
  • Hashes Turla SHA
  • Turla MD5 Hashes
  • Nombres de archivos de Turla conocidos
  • URL de Turla conocidos
  • IP de Turla conocidas
  • Nombres de host de Turla conocidos

(Volver arriba)

IBM Security QRadar Punto final 2.7.1

A continuación se muestra una lista de bloques de construcción que han recibido un arreglo para un problema con paréntesis en el filtro de reglas de AQL.
  • BB:BehaviorDefinition: Proceso Crítico Creado
  • BB:BehaviorDefinition: Proceso crítico creado por el archivo de acceso directo (lnk)
  • BB:BehaviorDefinition: Nuevo archivo creado en el directorio temporal
  • BB:BehaviorDefinition: Nuevo Registro Añadido a HKLM/HKCU (Windows)

Se ha eliminado la búsqueda guardada Limpiar programa malicioso fallido .

Se han corregido los ID de enlace de conjunto de referencia que eran incorrectos.

(Volver arriba)

IBM Security QRadar Punto final 2.7.0

La tabla siguiente muestra las nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.7.0.

Tabla 10. Nuevas reglas en IBM Security QRadar Endpoint Content Extension 2.7.0
Tipo Nombre Descripción
Regla Microsoft Windows RCE Vulnerability-Modificación de archivo

Detecta vulnerabilidades de ejecución de código remoto en Microsoft Exchange.

Microsoft ha emitido "CVE-2022-41040" y "CVE-2022-41082" Exchange Server.
Regla Microsoft Windows RCE Vulnerability-Descarga sospechosa utilizando Certutil

Detecta vulnerabilidades de ejecución de código remoto en Microsoft Exchange.

Microsoft ha emitido "CVE-2022-41040" y "CVE-2022-41082" Exchange Server.
Regla Microsoft Windows RCE Vulnerability-Archivos Sospechosos

Detecta vulnerabilidades de ejecución de código remoto en Microsoft Exchange.

Microsoft ha emitido "CVE-2022-41040" y "CVE-2022-41082" Exchange Server.
Regla Vulnerabilidad de RCE deMicrosoft Windows -Hashes sospechosos Detecta los hashes SHA256 de Windows RCE conocidos.
Regla Vulnerabilidad deMicrosoft Windows RCE-IP sospechosas

Esta regla detecta las IP de RCE de Windows conocidas.

Nota: Ajuste en función de los orígenes de registro para reducir el número de sucesos que coinciden con esta regla.

(Volver arriba)

IBM Security QRadar Punto final 2.6.0

En la tabla siguiente se muestran los nuevos bloques de construcción y reglas en IBM Security QRadar Endpoint Content Extension 2.6.0.

Tabla 11. Nuevos bloques de construcción y reglas en IBM Security QRadar Endpoint Content Extension 2.6.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Proceso Crítico Creado

Detecta los nuevos procesos críticos creados. Los procesos críticos se refieren a aquellos que potencialmente pueden ser mal utilizados por los adversarios para realizar actividades maliciosas. Los procesos comunes incluyen: PowerShell, cmd, mshta.

Nota: La regla se puede ajustar mediante el campo Process CommandLine . Algunas palabras clave comunes de Process CommandLine que aparecen en el programa malicioso son: findstr, tmp, temp, vbs, regsvr32, mandato, outfile, dlly http.
Bloque de construcción BB:BehaviorDefinition: Proceso crítico creado por el archivo de acceso directo (lnk) Detecta nuevos procesos que se crean a partir de archivos de acceso directo (lnk). Los procesos típicamente utilizados por los adversarios, como PowerShell, cmd, mshta deben ser monitorizados.
Bloque de construcción BB:BehaviorDefinition: Modificaciones excesivas de archivos Detecta demasiadas modificaciones de archivo dentro de una duración corta.
Bloque de construcción BB:BehaviorDefinition: Nuevo archivo creado en el directorio temporal

Detecta nuevos archivos creados bajo directorios temporales. Los adversarios pueden utilizar determinados directorios temporales para descartar archivos maliciosos.

Nota: Los directorios supervisados son.
  • -- Windows --
  • AppData\Local\Temp
  • AppData\Roaming\
Bloque de construcción BB:BehaviorDefinition: Nuevo Registro Añadido a HKLM/HKCU (Windows) Detecta un nuevo conjunto de claves de registro en los directorios HKLM o HKCU. Si bien esta actividad sólo es legítima, si hay comportamientos potenciales de ransomware detectados esto puede ser un método de persistencia.
Bloque de construcción BB:BehaviorDefinition: Archivo de acceso directo (lnk) que ejecuta un proceso crítico (1)

Detecta procesos críticos creados a partir de archivos de acceso directo (lnk), en orden por reglas de QRadar .

Nota: Los eventos pueden recibirse en el orden incorrecto, véase BB:BehaviorDefinition: Archivo de acceso directo (lnk) Ejecución de un proceso crítico (2) para el orden inverso.
Bloque de construcción BB:BehaviorDefinition: Archivo de acceso directo (lnk) que ejecuta un proceso crítico (2)

Detecta procesos críticos creados a partir de archivos de acceso directo (lnk), en orden por reglas de QRadar .

Nota: Los eventos pueden recibirse en el orden incorrecto, véase BB:BehaviorDefinition: Archivo de acceso directo (lnk) Ejecución de un proceso crítico (1) para el orden inverso.
Regla Comportamiento potencial de Ransomware de Mailto (Windows) Se desencadena cuando se detecta un comportamiento potencial de ransomware mailto. Un ransomware mailto normalmente realiza los pasos siguientes (puede tener pequeños cambios basados en la variante):
  1. Cambios de registro para crear claves (para persistencia).
  2. Descarta el directorio temporal de ion ejecutable.
  3. Suprime las duplicaciones.
  4. Cifrado (modificación de archivo).
Regla Explotación potencial de Windows a través de MSDT

Se desencadena cuando se detecta una explotación de vulnerabilidad de Microsoft Support Diagnostic Tool (MSDT) potencial.

Microsoft ha emitido "CVE-2022-30190" para la vulnerabilidad en MSDT. El adversario puede ejecutar código remoto utilizando MSDT para ejecutar código arbitrario.
Regla Mandatos de ejecución de archivos de acceso directo (lnk) (Windows) Se activa cuando un archivo de acceso directo (lnk) ha creado procesos que pueden ejecutar mandatos. Varios programas maliciosos como Emotet utilizan archivos de acceso directo que cuando se abren ejecutan mandatos maliciosos.

Se añaden reglas adicionales en el filtro de reglas para el Building Block BB:BehaviorDefinition: Suspicious Endpoint Activities.

El filtro de regla se actualiza para la regla Extensión de archivo cifrado de Ransomware .

(Volver arriba)

IBM Security QRadar Punto final 2.5.0

La tabla siguiente muestra los nuevos bloques de construcción y reglas en IBM Security QRadar Endpoint Content Extension 2.5.0.

Tabla 12. Nuevos bloques de construcción y reglas en IBM Security QRadar Endpoint Content Extension 2.5.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Comunicación con un posible huésped hostil (conjuntos de referencia)

Define la comunicación con un host hostil potencial, categorizado por conjuntos de referencia.

Los conjuntos de referencia que empiezan con los prefijos "XFE ATPF" se gestionan automáticamente mediante la aplicación Threat Intelligence y requieren una suscripción de pago. Los otros conjuntos de referencia los proporciona la aplicación Threat Intelligence y se pueden utilizar para incluir canales de información de Threat Intelligence de terceros.
Bloque de construcción BB:BehaviorDefinition: Comunicación con un huésped potencialmente hostil (categorización X-force) Se desencadena cuando se detecta una comunicación con un host hostil potencial. Categorizado por X-force.
Bloque de construcción BB:BehaviorDefinition: Comunicación con una dirección IP potencialmente hostil (Conjuntos de referencia)

Define la comunicación con una IP hostil potencial, categorizada por conjuntos de referencia.

Los conjuntos de referencia que empiezan con los prefijos "XFE ATPF" se gestionan automáticamente mediante la aplicación Threat Intelligence y requieren una suscripción de pago. Los otros conjuntos de referencia los proporciona la aplicación Threat Intelligence y se pueden utilizar para incluir canales de información de Threat Intelligence de terceros.
Bloque de construcción BB:BehaviorDefinition: Comunicación con una dirección IP potencialmente hostil (categorización de X-force) Se desencadena cuando se detecta una comunicación con una dirección IP hostil potencial. Categorizado por X-force.
Regla BB:BehaviorDefinition: Modificación crítica de archivos Detecta las modificaciones, incluidas las creaciones o supresiones, de archivos o directorios críticos.
Regla Archivo crítico modificado seguido de actividad sospechosa Se desencadena cuando se modifica un archivo o directorio crítico, seguido de una actividad sospechosa. Esto puede ser indicativo de un atacante que está modificando archivos y descartando archivos ejecutables para obtener acceso al host.
Regla Anomalías de inicio de sesión excesivas mediante conexión RDP Se activa cuando se detectan varios sucesos de autenticación fallida en la misma máquina en RDP desde una única dirección IP de origen.
El Building Block BB:CategoryDefinition: Archivos con permisos sensibles pasa a llamarse BB:CategoryDefinition: Archivos y directorios críticos para Endpoint. Como resultado, dos reglas han recibido una actualización de su descripción para reflejar el bloque de construcción renombrado.
  • Archivo crítico suprimido
  • Se ha cambiado el permiso de archivo crítico

A continuación se muestra una lista de bloques de construcción y reglas que han recibido una actualización de sus notas de regla en IBM Security QRadarEndpoint Content Extension 2.5.0.

  • Comunicación con un host posiblemente hostil
  • Comunicación con una dirección IP posiblemente hostil
  • Errores de inicio de sesión excesivos a través de conexión de red

El filtro de reglas se actualiza para los bloques de construcción Comunicación con un host hostil potencial y Comunicación con una dirección IP hostil potencial .

A continuación se muestra una lista de los nuevos conjuntos de referencia en IBM Security QRadarEndpoint Content Extension 2.5.0.

  • XFE ATPF-anonsvcs_ipv4
  • XFE ATPF-anonsvcs_ipv6
  • XFE ATPF-anonsvcs_url
  • XFE ATPF-bots_ipv4
  • XFE ATPF-bots_ipv6
  • XFE ATPF-c2server_ipv4
  • XFE ATPF-c2server_ipv6
  • ATPF-c2server_url XFE
  • XFE ATPF-cryptomining_ipv4
  • XFE ATPF-cryptomining_ipv6
  • XFE ATPF-cryptomining_url
  • XFE ATPF-ew_url
  • XFE ATPF-mw_ipv4
  • XFE ATPF-mw_ipv6
  • ATPF-mw_url de XFE
  • url_phishing_ATPF-XFE
  • XFE ATPF-scanning_ipv4
  • XFE ATPF-scanning_ipv6

A continuación se muestra una lista de conjuntos de referencia en los que el tipo de elemento se actualiza a "Ignorar caso alfanumérico" en IBM Security QRadarEndpoint Content Extension 2.5.0.

  • Archivo_pety_ash
  • Petya_File_Name
  • Lista de elementos permitidos de correctores de compatibilidad
  • WCry_FileHash
  • WCry_FileName
  • WCry_HostName

(Volver arriba)

IBM Security QRadar Punto final 2.4.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.4.0.

Tabla 13. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.4.0
Nombre Optimizada Se encuentra en
Nivel de integridad Sí Microsoft Windows
ParentCommandLine Sí Microsoft Windows
ID de proceso Sí Microsoft Windows
Nombre de valor de registro Sí Microsoft Windows
Firmado Sí Microsoft Windows

Los ID de expresión se fijan en las propiedades personalizadas de Argumento codificado, StartAddress y Nombre de proceso terminado.

En la tabla siguiente se muestran las reglas y los bloques de construcción en IBM Security QRadar Endpoint 2.4.0.

Tabla 14. Reglas y bloques de construcción en IBM Security QRadar Punto final 2.4.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Imagen cargada desde el directorio del sistema de simulacro Se desencadena cuando se carga un ejecutable o DLL desde un directorio enmascarado como directorio del sistema.
Bloque de construcción BB:BehaviorDefinition: actividades de punto final sospechosas Se ha añadido Omisión de UAC potencial a la lista de actividades sospechosas
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Apropiación de DLL (directorio no del sistema) Se desencadena cuando se descartan archivos específicos en ubicaciones específicas en las que se pueden cargar y ejecutar sin UAC utilizando ejecutables de Windows auténticos.
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Apropiación de DLL (directorio del sistema) Se desencadena cuando un proceso privilegiado carga una DLL sin signo desde el directorio del sistema.
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Objeto COM elevado Se activa cuando las interfaces COM que pueden eludir UAC se alojan en el archivo dllhost.exe y generan un proceso con privilegios.
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Instalador de complemento IE Se desencadena cuando el instalador del complemento de Internet Explorer genera un proceso privilegiado cuando se inicia desde una interfaz COM.
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Directorio del sistema de simulacro (Imagen) Se desencadena cuando un proceso privilegiado carga un ejecutable o DLL desde un directorio enmascarado como el directorio del sistema.
Bloque de construcción BB:BehaviorDefinition: Omisión de UAC - Directorio del sistema de simulacro(proceso) Se desencadena cuando un proceso privilegiado se inicia desde un directorio enmascarado como directorio del sistema.
Bloque de construcción BB:BehaviorDefinition: DLL sin signo cargado desde directorio del sistema Se desencadena cuando se carga una DLL sin signo desde el directorio del sistema.
Bloque de construcción BB:CategoryDefinition: Proceso elevado (Windows) Identifica procesos elevados.
Bloque de construcción BB:CategoryDefinition: Clave de registro de omisión de UAC Identifica las claves de registro conocidas para facilitar la omisión de UAC.
Regla Omisión de UAC potencial Se desencadena cuando se detecta un comportamiento asociado con la omisión del control de cuentas de usuario de Windows.

(Volver arriba)

IBM Security QRadar Punto final 2.3.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.3.0.

Tabla 15. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.3.0
Nombre Optimizada Se encuentra en
Argumento codificado Sí Microsoft Windows

En la tabla siguiente se muestran las reglas y los bloques de construcción en IBM Security QRadar Endpoint 2.3.0.

Tabla 16. Reglas y bloques de construcción en IBM Security QRadar Endpoint 2.3.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Acceso a escritorio remoto desde un host remoto Identifica los flujos en los que se accede a una aplicación de escritorio remoto desde un host remoto
Bloque de construcción BB:BehaviorDefinition: Acceso a unidad compartida administrativa Se desencadena cuando se accede a una compartición administrativa.
Bloque de construcción BB:BehaviorDefinition: Tráfico de entrada de Cobalt Strike Identifica los flujos que muestran un host que envía correo a hosts remotos.
Bloque de construcción BB:BehaviorDefinition: Tráfico de entrada de Cobalt Strike Se activa cuando se detecta una huella dactilar de TLS conocida como una comunicación de un servidor Cobalt Strike.
Bloque de construcción BB:BehaviorDefinition: Tráfico de salida de Cobalt Strike Se activa cuando se detecta una huella de TLS conocida como una comunicación de un cliente de Cobalt Strike.
Bloque de construcción BB:BehaviorDefinition: Tráfico de Cobalt Strike potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con Cobalt Strike. Cobalt Strike es una herramienta de prueba de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos suelen utilizar versiones obtenidas ilegalmente de esta aplicación para utilizarlas en sus propios ataques. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Bloque de construcción BB:BehaviorDefinition: Entorno de programación iniciado con una cuenta privilegiada Se desencadena cuando se ha iniciado un entorno de programación con una cuenta privilegiada.
Bloque de construcción BB:BehaviorDefinition: administración de punto final regular Define la actividad de administración regular como la gestión de usuarios, el archivo de descarga en la línea de mandatos o la ejecución con privilegios elevados.
Bloque de construcción BB:BehaviorDefinition: actividades de punto final sospechosas Define las actividades de punto final sospechosas.
Bloque de construcción BB:BehaviorDefinition: Actividad de VNC desde un host remoto Identifica el flujo de acceso a un servicio VNC desde un host remoto.
Regla Comportamiento de Cobalt Strike detectado Se activa cuando se detecta un comportamiento potencialmente perteneciente a Cobalt Strike. Cobalt Strike es una herramienta de prueba de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos suelen utilizar versiones obtenidas ilegalmente de esta aplicación para utilizarlas en sus propios ataques.
Regla Comunicación con un host posiblemente hostil Se desencadena cuando se detecta la comunicación con un host hostil potencial, categorizado por X-force o en la colección de conjunto de referencia.
Regla Uso malicioso de mandato codificado en un entorno de programación Se desencadena cuando se utiliza un mandato codificado en un tipo de entorno de programación cmd o Powershell.
Regla Malware: Tráfico de Dridex potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con el troyano Dridex. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Malware: Tráfico de Emotet potencial Se activa cuando se observa una huella dactilar de JA3 que se sabe que está relacionada con el troyano Emotet. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Malware: Tráfico de Empire potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con el descargador Empire. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Malware: Tráfico de Trickbot potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con el troyano Trickbot. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Tráfico Metasploit Potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con Metasploit. Metasploit es una herramienta de prueba de penetración que suelen utilizar los equipos rojos. Sin embargo, los actores maliciosos a menudo lo usarán en sus propios ataques. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Tráfico de Tor potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con el proyecto Tor. Tor es un servicio de anonimización no malicioso que se puede utilizar para eludir políticas y realizar actividades maliciosas. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Ransomware: Tráfico de Ryuk potencial Se activa cuando se observa una huella dactilar de TLS que se sabe que está relacionada con el ransomware Ryuk. La regla busca comparar las huellas dactilares del cliente y del servidor para reducir el riesgo de falsos positivos.
Regla Remoto: Acceso de escritorio remoto desde Internet Se desencadena cuando se detecta el protocolo de escritorio remoto de Microsoft desde Internet a un host local. La mayoría de las empresas consideran esto una violación de la política corporativa. Si esta es una actividad normal en su red, debe inhabilitar esta regla.
Regla Remoto: Acceso VNC desde Internet Se desencadena cuando se detecta VNC (una aplicación de acceso de escritorio remoto) desde Internet a un host local. Muchas empresas consideran esta acción un problema de política que debe abordarse. Si esta es una actividad normal en su red, inhabilite esta regla.
Regla Servicio configurado para utilizar PowerShell Se desencadena cuando un servicio está configurado para utilizar Powershell.
Regla Padre sospechoso para un proceso Se desencadena cuando un servicio está configurado para utilizar Powershell.
Regla Se ha detectado un uso del módulo PSExec sospechoso Se desencadena cuando se detecta un uso del módulo PSExec.

La tabla siguiente muestra los conjuntos de referencia actualizados en IBM Security QRadar Endpoint 2.3.0

Tabla 17. Conjuntos de referencia actualizados en IBM Security QRadar Endpoint 2.3.0
Nombre Descripción
Nombre de proceso y directorios de proceso predeterminados Lista los procesos confidenciales y sus directorios.

Se ha corregido un error de sincronización en el panel de control de Resumen de puntos de Pulse.

(Volver arriba)

IBM Security QRadar Punto final 2.2.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.2.0.

Tabla 18. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.2.0
Nombre Optimizada Se encuentra en
ServiceFileName Sí Microsoft Windows

En la tabla siguiente se muestran las reglas y los componentes básicos en IBM Security QRadar Endpoint 2.2.0.

Tabla 19. Reglas y bloques de construcción en IBM Security QRadar Endpoint 2.2.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: IOC de vía de acceso de malware como servicio

Se activa cuando se observa un indicador de compromiso (IOC) de vía de acceso de archivo relacionado con malware como servicio (MaaS), como un troyano Emotet o Trickbot.

Los IOC seguirán el patrón en estos directorios personalizados:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

El conjunto de referencia Malware as a Service_Path se ha rellenado previamente. Ajuste este conjunto de referencia con el IOC relevante.
Regla Inyección de código de memoria potencial Se desencadena cuando la baliza Cobalt strike genera un proceso de Windows. Cobalt strike beacon genera un binario nativo de Windows y manipula su espacio de memoria dando como resultado que los procesos engendrados no tengan argumentos de línea de mandatos. especificar.
Regla Servicio configurado para utilizar una interconexión Se desencadena cuando un servicio está configurado para utilizar un conducto. Esto podría indicar que un atacante consigue acceso a un sistema de usuarios a través de la escalabilidad de privilegios utilizando getsystem.

(Volver arriba)

IBM Security QRadar Punto final 2.1.1

Se ha corregido un error de sincronización en los paneles de control Resumen de puntos y ransomware de Pulse.

(Volver arriba)

IBM Security QRadar Punto final 2.1.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.1.0.

Tabla 20. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.1.0
Nombre Optimizada Se encuentra en
Nombre de proceso Sí
Proceso terminado Sí Microsoft Windows

En la tabla siguiente se muestran las reglas y los componentes básicos en IBM Security QRadar Endpoint 2.1.0.

Tabla 21. Reglas y bloques de construcción en IBM Security QRadar Endpoint 2.1.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: IOC de vía de acceso de malware como servicio

Se activa cuando se observa un indicador de compromiso (IOC) de vía de acceso de archivo relacionado con malware como servicio (MaaS), como un troyano Emotet o Trickbot.

Los IOC seguirán el patrón en estos directorios personalizados:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

El conjunto de referencia Malware as a Service_Path se ha rellenado previamente. Ajuste este conjunto de referencia con el IOC relevante.
Bloque de construcción BB:DeviceDefinition: Sistema operativo Define todos los sistemas operativos del sistema.
Regla Detección de IOC malicioso en sucesos

Se activa cuando un IOC se categoriza como malicioso en una recopilación de conjunto de referencia.

Las reglas de IOC de hash de malware como servicio en flujos y Ransomware: Ryuk IOC en flujos se excluyen de esta regla para evitar la repetición. Su propósito es tener una respuesta de regla dedicada.
Regla Detección de IOC malicioso en flujos

Se activa cuando un IOC se categoriza como malicioso en una recopilación de conjunto de referencia.

IOC de hash de malware como servicio en flujos y Ransomware: Ryuk IOC en flujos se excluyen de esta regla para evitar la repetición. Su propósito es tener una respuesta de regla dedicada.
Regla Exceso de anomalías al acceder a una unidad compartida administrativa desde el mismo host Se activa cuando se ven anomalías repetidas para acceder a recursos compartidos administrativos desde el mismo host.

Esta regla se ha renombrado a partir de Acceso fallido excesivo a una compartición administrativa desde el mismo origen
Regla Errores de inicio de sesión excesivos a través de conexión de red

Se activa cuando se detectan varios sucesos de autenticación fallida en la misma máquina desde una única dirección IP de origen.

Este comportamiento indica un potencial intento de fuerza bruta para acceder a una máquina.

Esta regla se ha renombrado a partir de Errores de inicios de sesión excesivos a través de RDP.
Regla Errores de inicio de sesión excesivos mediante conexión de red a varias máquinas

Se activa cuando se detectan varios sucesos de autenticación fallida en máquinas diferentes desde una única dirección IP de origen.

Este comportamiento indica un potencial intento de fuerza bruta para acceder a una máquina.

Esta regla se ha renombrado a partir de Errores de inicio de sesión excesivos mediante conexión de red a varias máquinas.
Regla DLL maliciosa creada por spoolsv Se activa cuando spoolsv.exe ha creado un archivo sospechoso.
Regla Comportamiento de malware como servicio

Se activa cuando se observa un comportamiento de malware como servicio.

Estos comportamientos incluyen el uso de un programa de utilidad de descarga en el punto final y la vía de acceso del archivo que muestra la indicación de compromiso.
Regla IOC de hash de malware como servicio en sucesos

Se activa cuando se observa un IOC de hash de archivo relacionado con MaaS como, por ejemplo, un troyano Emotet o Trickbot.

Los conjuntos de referencia Malware as a Service_SHA1, Malware as a Service_SHA256y Malware as a Service_MD5 se rellenan previamente. Ajuste estos conjuntos de referencia con el IOC relevante.
Regla IOC de hash de malware como servicio en flujos

Se activa cuando se observa un IOC de hash de archivo relacionado con MaaS como, por ejemplo, un troyano Emotet o Trickbot.

Malware as a Service_SHA1, Malware as a Service_SHA256 y Malware as a Service_MD5 se rellenan previamente. Ajuste estos conjuntos de referencia con el IOC relevante.
Regla Entorno de programación generado por un proceso sospechoso Se activa cuando un proceso sospechoso genera un entorno de programación. Podría indicar que un atacante está intentando ejecutar un script malicioso.

Esta regla se ha actualizado para las vulnerabilidades de Windows.
Regla Instrucciones de descifrado de ransomware creadas Se activa cuando se encuentra un nombre de archivo de instrucción de descifrado en una máquina. Es habitual que el ransomware cree un archivo de instrucción de descifrado para proporcionar a los usuarios instrucciones sobre cómo pagar el rescate para recuperar sus archivos. Este archivo en particular suele denominarse con términos comunes como: decrypt, recover, instructionso how to.

Esta regla se ha actualizado para el ransomware Ryuk.
Regla Extensión de archivo cifrado de ransomware Se activa cuando se detecta una extensión de archivo de ransomware conocida. El ransomware normalmente cifra los archivos y añade una extensión de archivo específica como parte de su proceso.

Esta regla se ha actualizado para el ransomware Ryuk.
Regla IOC de ransomware detectados en varias máquinas Se activa cuando se detecta un IOC de ransomware en cinco o más máquinas diferentes. Esto podría indicar que el ransomware se está propagando con éxito en la red.

Esta regla se ha actualizado para todas las reglas de detección nuevas que se han añadido en este release.
Regla Ransomware: IOC de Ryuk en sucesos

Se desencadena cuando se observa un hash de archivo IoC relacionado con el ransomware Ryuk.

Ryuk_SHA256, Ryuk_SHA1y Ryuk_MD5 están rellenados previamente. Ajuste estos conjuntos de referencia con el IOC relevante.
Regla Ransomware: IOC de Ryuk en flujos

Se desencadena cuando se observa un hash de archivo IoC relacionado con el ransomware Ryuk.

Ryuk_SHA256, Ryuk_SHA1y Ryuk_MD5 están rellenados previamente. Ajuste estos conjuntos de referencia con el IOC relevante.
Regla Ransomware: Servicio Ryuk o terminación de proceso

Se desencadena cuando el ransomware Ryuk cancela los procesos en ejecución después de hacer una copia de sí mismo.

El conjunto de referencia Lista de servicio Ryuk y terminación de proceso se ha rellenado previamente. Ajuste este conjunto de referencia con los servicios y procesos relevantes.

La tabla siguiente muestra los conjuntos de referencia en IBM Security QRadar Endpoint 2.1.0.

Tabla 22. Conjuntos de referencia en IBM Security QRadar Endpoint 2.1.0
Nombre Descripción
Programa malicioso como Service_MD5 Lista los hashes de archivo MD5 que son indicadores para malware como servicio.
Malware como vía de acceso de servicio Lista las vías de acceso de archivo que son indicadores para malware como servicio.
Programa malicioso como Service_SHA1 Lista los hashes de archivo SHA1 que son indicadores para malware como servicio.
Malware como Service_SHA256 Lista los hashes de archivo SHA256 que son indicadores para malware como servicio.
pulse_imports Panel de control de Pulse.
Lista de servicio Ryuk y terminación de proceso Lista los posibles procesos o servicios terminados por el ransomware Ryuk.
Ryuk_MD5 Lista los hashes de archivo MD5 que son indicadores para el ransomware Ryuk.
Ryuk_SHA1 Lista los hashes de archivo SHA1 que son indicadores para el ransomware Ryuk.
Ryuk_SHA256 Lista los hashes de archivo SHA256 que son indicadores para el ransomware Ryuk.

El panel de control de Pulse añadido en IBM Security QRadar Endpoint Content Extension 2.1.0 contiene ocho widgets relacionados con ransomware:

  • Uno con estadísticas sobre el número de máquinas afectadas por reglas.
  • Uno con estadísticas sobre el número de alertas por máquina.
  • Seis tablas que representan las seis fases de un ataque.

Los dos primeros widgets incluyen todas las reglas de cada fase:

WHERE (RULENAME(creEventList) IN ('Attempt to Delete Shadow Copies', 'Critical File Deleted (Unix)', 'RDP Hijacking Tool Detected', 'Recovery Disabled in Boot Configuration Data', 'Detection of Malicious File or Process', 'Detection of Malicious IOC', 'File Decode or Download followed by Suspicious Activity', 'Cobalt Strike Behaviour Detected', 'Excessive Failed Access to an Administrative Share from the Same Source', 'Excessive Nslookup Usage', 'Reconnaissance Tool Detected', 'Excessive File Deletion and Creation', 'Suspicious Amount of Files Renamed on the Same Machine (Windows)', 'Suspicious Amount of Files Renamed/Moved on the Same Machine (Unix)', 'Suspicious Amount of Files Deleted on the Same Machine') 
OR RULENAME(creEventList) MATCHES '.*(Ransomware|Maze|Bad Rabbit|Petya|REvil|Ryuk|WCry|Malware as a Service Hash IOC).*?')

En la tabla siguiente se enumeran las reglas incluidas para cada fase.

Tabla 23. Reglas incluidas para cada fase de ataque
Fase Reglas
Distribución
  • IOC de hash de malware como servicio en sucesos
  • IOC de hash de malware como servicio en flujos
Transferencia
  • Intento de suprimir duplicaciones
  • Archivo crítico suprimido (Unix)
  • Herramienta de apropiación de RDP detectada
  • Recuperación inhabilitada en datos de configuración de arranque
  • Ransomware: Servicio Ryuk o terminación de proceso
Infección
  • Detección de archivo o proceso malicioso
  • Detección de IOC malicioso
  • Decodificación de archivo o descarga seguida de actividad sospechosa
  • Ransomware: IOC de BadRabbit en sucesos
  • Ransomware: IOC de BadRabbit en flujos
  • Ransomware: IOC de Maze en sucesos
  • Ransomware: IOC de Petya/NotPetya en sucesos
  • Ransomware: IOC de Petya/NotPetya en flujos
  • Ransomware: IOC de REvil en sucesos
  • Ransomware: IOC de WCry en sucesos
  • Ransomware: IOC de WCry en flujos
  • Ransomware: WCry Payload en flujos
  • IOC de ransomware detectados en varias máquinas
  • Ransomware: IOC de Ryuk en sucesos
  • Ransomware: IOC de Ryuk en flujos
  • Extensión de archivo cifrado de ransomware
Reconocimiento
  • Comportamiento de Cobalt Strike detectado
  • Acceso anómalo excesivo a una compartición administrativa desde el mismo origen
  • Uso excesivo de nslookup
  • Herramienta de reconocimiento detectada
Cifrado
  • Supresión y creación de archivos excesivos
  • Extensión de archivo cifrado de ransomware
  • Ransomware: Transferencia de archivos sospechosa de laberinto
  • Cantidad sospechosa de archivos suprimidos en la misma máquina
  • Cantidad sospechosa de archivos renombrados en la misma máquina (Windows)
  • Cantidad sospechosa de archivos renombrados/movidos en la misma máquina (Unix)
Notificación de rescate Instrucciones de descifrado de ransomware

(Volver arriba)

IBM Security QRadar Punto final 2.0.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.0.0.

Tabla 24. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 2.0.0
Nombre Optimizada Se encuentra en
Tipo de inicio de sesión Sí Microsoft Windows
Nombre de unidad compartida Sí Microsoft Windows
StartAddress Sí Microsoft Windows

En la tabla siguiente se muestran las reglas y los componentes básicos en IBM Security QRadar Endpoint 2.0.0.

Tabla 25. Reglas y bloques de construcción en IBM Security QRadar Punto final 2.0.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Tráfico de entrada de Cobalt Strike Se activa cuando se detecta una huella dactilar de TLS conocida como una comunicación de un servidor Cobalt Strike.
Bloque de construcción BB:BehaviorDefinition: Tráfico de salida de Cobalt Strike Se activa cuando se detecta una huella de TLS conocida como una comunicación de un cliente de Cobalt Strike.
Bloque de construcción BB:BehaviorDefinition: Uso de puerto de Cobalt Strike Se activa cuando se detecta el tráfico TCP de salida a través del puerto 50050. Este es el puerto predeterminado para la comunicación con Cobalt Strike Server.
Bloque de construcción BB:BehaviorDefinition: Dirección de proceso de Cobalt Strike Se activa cuando se crea una hebra remota en una dirección de inicio que finaliza en "0B80". Este comportamiento es indicativo de una hebra creada por Cobalt Strike.
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de directorios (Unix) Define cuándo se ejecuta un mandato de Unix que descubre un gran número de directorios. Los mandatos detectados por esta regla son:
  • ls -d
  • find -type d
  • ls -r
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de directorios (Windows) Define cuándo se ejecuta un PowerShell que descubre los directorios de forma recursiva. Esto puede ocurrir cuando la función Get-ChildItem se ejecuta con el argumento -recurse o se utiliza dentro de un bucle ForEach.
Bloque de construcción BB:BehaviorDefinition: Creación y supresión de archivos Detecta los sucesos de creación de archivos y supresión de archivos en el mismo directorio en un sistema Windows y se puede utilizar en reglas para detectar varias modificaciones de archivo en muchos directorios.
Bloque de construcción BB:BehaviorDefinition: Actividad de carga de archivos PowerShell Se activa cuando se utiliza PowerShell para cargar archivos.
Bloque de construcción BB:BehaviorDefinition: Uso de nslookup repetido Se activa cuando nslookup se utiliza repetidamente. El umbral todavía se puede considerar como un comportamiento normal de administración y es necesario que se correlacione con otros sucesos para ser considerados como anómalos.
Bloque de construcción BB:CategoryDefinition: Múltiples supresiones de archivo en el sistema de puntos finales Se activa cuando se suprimen varios archivos no temporales en sistemas de endpoint.
Bloque de construcción BB:BehaviorDefinition: Descubrimiento de redes o nombres de host Coincide cuando se realiza una acción de nombre de host o de descubrimiento de red.
Bloque de construcción BB:BehaviorDefinition: administración de punto final regular Define la actividad de administración regular, como la gestión de usuarios, la descarga de archivos en línea de mandatos o la ejecución con privilegios elevados.
Bloque de construcción BB:BehaviorDefinition: actividades de punto final sospechosas Define las actividades de punto final sospechosas.
Regla Intento de suprimir duplicaciones Se activa cuando se ejecuta un mandato para suprimir duplicaciones. Los programas maliciosos pueden intentar utilizar Windows Management Instrumentation o Vssadmin para eliminar instantáneas de archivos creados por Windows.
Regla Comportamiento de Cobalt Strike detectado Se activa cuando se detecta un comportamiento potencialmente perteneciente a Cobalt Strike. Cobalto Strike es una herramienta de prueba de penetración que suele ser utilizada por los equipos rojos. Sin embargo, los actores maliciosos suelen utilizar versiones obtenidas ilegalmente de esta aplicación para realizar ataques.
Regla Archivo crítico suprimido (Unix) Detecta cuando se suprime un archivo o un archivo crítico en un directorio crítico. Los archivos de intercambio se excluyen de forma predeterminada y cualquier otra extensión de archivo que no desee supervisar también se puede excluir.

Edite el bloque de construcción BB:CategoryDefinition: archivos con permisos confidenciales añadiendo archivos o directorios que supervisar. Estas ubicaciones deberían estar relacionadas con el arranque, la copia de seguridad, el registro o las credenciales, aspectos cuya explotación reviste mayor gravedad.
Regla Detección de archivo o proceso malicioso Detecta cuando se observa un nombre de archivo o nombre de proceso considerado como parte de la ejecución de malware. Esta regla está supervisando los siguientes nombres de archivo o proceso:
  • Minergate
  • Neshta
  • Slayer Leecher
  • NLBrute (NL)
  • EternalBlue
  • MimiKatz / MimiPenguin
Regla Acceso anómalo excesivo a una compartición administrativa desde el mismo origen Se observan desencadenantes después de intentos fallidos consecutivos de acceder a una compartición administrativa.
Regla Supresión y creación de archivos excesivos Se activa cuando se crean y se suprimen un gran número de archivos de archivos de varios directorios. Esto podría indicar la presencia de un ransomware como WCry o Samsam, que crean una copia cifrada de un archivo antes de suprimir el original.
Regla Errores de inicio de sesión excesivos a través de RDP Se activa cuando se detectan varios sucesos de autenticación fallida en la misma máquina en RDP desde una única dirección IP de origen. Este comportamiento indica un potencial intento de fuerza bruta posterior para acceder a una máquina.
Regla Errores de inicio de sesión excesivos a través de RDP en varias máquinas Se activa cuando se detectan varios sucesos de autenticación fallida en máquinas diferentes en RDP desde una única dirección IP de origen. Este comportamiento indica un potencial intento de fuerza bruta para acceder a varias máquinas.
Regla Uso excesivo de nslookup Se activa cuando el mandato nslookup se ejecuta un número excesivo de veces desde la misma máquina. Este comportamiento podría indicar que un actor malicioso está intentando recopilar información sobre la red en la que exfiltra.
Regla Instrucciones de descifrado de ransomware creadas Se activa cuando se encuentra un nombre de archivo de instrucción de descifrado en una máquina. Es habitual que el ransomware cree un archivo de instrucción de descifrado para proporcionar a los usuarios instrucciones sobre cómo pagar el rescate para recuperar sus archivos. Este archivo en particular se denomina a menudo con términos comunes tales como: descifrar, recuperar, instrucciones, cómo y así sucesivamente.
Regla Extensión de archivo cifrado de ransomware Se activa cuando se detecta una extensión de archivo de ransomware conocida. El ransomware normalmente cifra los archivos y añade una extensión de archivo específica como parte de su proceso. La lista completa de extensiones es: aes_ni, 1999, _23-06-2016-20-27-23_$f_tactics@aol.com$.legion, _crypt, $centurion_legion@aol.com$.cbf, 0x0, 34xxx, 3angle@india.com, 73i87a, 8lock8, aaa, abc, acrypt, aes_ni_0day, aes256, alcatraz, arzamass7@163.com, bart.zip, better_call_saul, biz, blackblock, bleep, bloc, bloccato, btc, btc-help-you, btcbtcbtc, btcware, bugsecccc, cazzo, ccc, cerber, chifrator@qq_com, clf, code, coverton, crab, crime, crinf, crjoker, cry, cryp1, crypt, crypted, cryptendblackdc, crypto, cryptobyte, cryptoshield, cryptotorlocker2015!, cryptowall, cryptowin, crysis, ctb2, ctbl, czvxce, darkness, dharma, dll555, don0t0uch7h!$cryptedfile, doomed, duhust, dyatel@qq_com_ryp, ecc, ecovector2@aol.com, ecrypt, enc, encedrsa, enciphered, encrypt, encrypted, encryptedaes, encryptedfile, encryptedrsa, encryptile, enigma, epic, exploit, exx, ezz, flyper, foobar.docx.onyon, frozen, fucked, fun, gdcb, gefickt, globe, good, greg_blood@india.com, gruzin@qq_com, gsupport, gws, ha3, hb15, helpdecrypt@ukr, hnyear, hollycrypt, html, hush, infected, j, johnycryptor@hackermail.com, justbtcwillhelpyou, keybtc@inbox_com, keyh0les, keyz, kimcilware, kimcilware.lechiffre, kkk, korrektor, krab, kraken, kratos, krypted, kyra, lechiffre, lesli, lock, locked, locky, lok, lol!, magic, mecpt, micro, milarepa.lotos@aol.com, mole, monstro, mychemicalromance4ever, nalog@qq_com, no.btc@protonmail.ch, no.btcw@protonmail.ch, no.xop@protonmail.ch, nochance, obfuscated, omg!*, only-we_can-help_you, oor, oplata@qq_com, oshit, p5tkjw, payb, paybtcs, paymds, paymrts, payms, paymst, paymts, payransom, payrms, payrmts, pays, pizda@qq_com, poar2w, porno, pornoransom, purged, pzdc, r16m01d05, r4a, r5a, radamant, raid, razy, rdm, rdmk, relock@qq_com, remind, rmd, rokku, rrk, rscl, saeid, sanction, savepanda@india.com, scl, securecrypted, siri-down@india.com, sport, sql772@aol.com, supercrypt, surprise, systemdown@india.com, szf, theva, tombit@india.com, toxcrypt, troyancoder@qq_com, trun, ttt*, uk-dealer@sigaint.org, unlockit, vault, vegclass@aol.com, versiegelt, vscrypt, vvv, wallet, xdata, xort, xrnt, xrtn, xtbl, xxx, xyz, zendr, zendrz, zepto, zzz, 암호화됨
Regla IOC de ransomware detectados en varias máquinas Se activa cuando se detecta un IOC de ransomware en cinco o más máquinas diferentes. Esto puede indicar que el ransomware se está propagando correctamente en la red.
Regla Ransomware: IOC de BadRabbit en sucesos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware BadRabbit.
Regla Ransomware: IOC de BadRabbit en flujos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware BadRabbit.
Regla Ransomware: IOC de Maze en sucesos Se activa cuando se observa un IOC (nombre de archivo) relacionado con el ransomware Maze.
Regla Ransomware: Transferencia de archivos sospechosa de laberinto Se activa cuando se detecta una transferencia de archivos asociada con la exfiltración de datos de ransomware Maze.
Regla Ransomware: IOC de Petya/NotPetya sucesos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware Petya.
Regla Ransomware: IOC de Petya/NotPetya en flujos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware Petya.
Regla Ransomware: Carga útil de Petya/NotPetya en flujos Se activa cuando se observa una carga útil de Petya en los flujos.
Regla Ransomware: IOC de REvil en sucesos Se activa cuando se observa un IOC (nombre de archivo) relacionado con el ransomware REvil, también conocido como Sodinokibi y Sodin.
Regla Ransomware: IOC de WCry sucesos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware WCry.
Regla Ransomware: IOC de WCry flujos Se activa cuando se observa un IOC (nombre de archivo, hash de archivo, nombre de host, dirección IP) relacionado con el ransomware WCry.
Regla Ransomware: WCry Payload en flujos Se activa cuando se observa una carga útil de WCry en los flujos.
Regla Herramienta de apropiación de RDP detectada Se activa cuando se crea un proceso que puede eludir la seguridad de RDP. Las herramientas supervisadas son:
  • ngrok, que se puede utilizar para abrir conexiones que omiten un cortafuegos
  • tscon, una herramienta de Windows nativa que se puede utilizar para secuestrar otra sesión de RDP activa
Regla Proceso de herramienta de reconocimiento detectado Se activa cuando se detectan herramientas de descubrimiento utilizadas habitualmente antes de desplegar el ransomware. Estas herramientas también pueden ser utilizadas por equipos rojos y no son inherentemente peligrosas, sin embargo los actores maliciosos pueden utilizarlas para sondear un entorno antes de atacarlo. La regla se ha rellenado previamente con las herramientas siguientes:
  • BloodHound, y su herramienta de ingestión de datos SharpHound, es una aplicación que se utiliza para correlacionar relaciones ocultas y no intencionadas dentro de un entorno de Active Directory. Los atacantes pueden utilizar estas herramientas para identificar fácilmente las vías de ataque.
  • PingCastle es una herramienta comúnmente utilizada por las empresas para evaluar la seguridad de Active Directory. Los actores maliciosos pueden utilizar esta herramienta para detectar vulnerabilidades dentro del entorno.
  • Advanced IP Scanner es un explorador de red que se puede utilizar para controlar de forma remota los dispositivos en un entorno. Esta herramienta se puede utilizar durante un ataque de ransomware para habilitar el movimiento lateral.
  • AdFind es una herramienta de consulta de Active Directory de línea de mandatos. Se puede utilizar para identificar rápidamente puntos débiles dentro de una configuración de Active Directory.
  • Everything (o ES) es un programa de utilidad de búsqueda que permite encontrar archivos y carpetas más rápidamente. Esta funcionalidad puede habilitar el ransomware para recopilar información sobre todos los archivos y carpetas para el cifrado posterior.
  • Masscan es una herramienta de exploración de puertos. Con frecuencia es utilizado por los atacantes para listar los puertos potencialmente vulnerables. Estas herramientas también pueden ser utilizadas por equipos rojos y no son inherentemente peligrosas, sin embargo los actores maliciosos pueden utilizarlas para sondear un entorno antes de atacarlo.
Regla Recuperación inhabilitada en datos de configuración de arranque Se activa cuando las opciones de recuperación están inhabilitadas en los datos de configuración de arranque. Esto podría indicar que un actor malicioso intenta inhabilitar la capacidad de recuperar archivos de un ataque de ransomware.
Regla Buscar archivos de contraseña utilizando findstr (Windows) Se activa cuando se realiza una búsqueda de la serie contraseña utilizando el mandato findstr. Este comportamiento puede indicar un actor malicioso que busca archivos que contienen contraseñas.
Regla Buscar archivos de contraseña utilizando grep o find (Unix) Se activa cuando se realiza una búsqueda de la cadena password utilizando los mandatos grep o find. Este comportamiento puede indicar un actor malicioso que busca archivos que contienen contraseñas en un sistema Unix.
Regla Buscar archivos de contraseña utilizando Select-String (Windows) Se activa cuando se realiza una búsqueda de la cadena password utilizando el mandato Select-String PowerShell. Este comportamiento puede indicar un actor malicioso que busca archivos que contienen contraseñas.
Regla SharpHound PowerShell detectado Se activa cuando se ejecuta un script SharpHound PowerShell. La función primaria que se utiliza en el script se denomina invoke-BloodHound.
Regla Cantidad sospechosa de archivos suprimidos en la misma máquina Se activa cuando se suprime un número sospechoso de archivos de un gran número de carpetas diferentes. Esto puede indicar un intento de interrumpir los servicios u ocultar los rastreos de un ataque.
Regla Cantidad sospechosa de archivos renombrados en la misma máquina (Windows) Se activa cuando se cambia el nombre de un número sospechoso de archivos desde Powershell. Esto podría indicar la presencia de ransomware, que suelen cifrar y renombrar archivos como parte de su proceso.
Regla Cantidad sospechosa de archivos renombrados/movidos en la misma máquina (Unix) Se activa cuando se cambia el nombre de un número sospechoso de archivos utilizando el mandato mv. Esto podría indicar la presencia de ransomware, que suelen cifrar y renombrar archivos como parte de su proceso.

La tabla siguiente muestra los datos de referencia en IBM Security QRadar Endpoint

Tabla 26. Datos de referencia en IBM Security QRadar Endpoint
Tipo Nombre Descripción
Conjunto de referencia BadRabbit_FileHash Lista los hashes de archivo asociados con el ransomware BadRabbit.
Conjunto de referencia BadRabbit_FileName Lista los nombres de archivo asociados con el ransomware BadRabbit.
Conjunto de referencia BadRabbit_Hostname Lista los nombres de host asociados con el ransomware BadRabbit.
Conjunto de referencia BadRabbit_IP Lista las direcciones IP asociadas con el ransomware BadRabbit.
Conjunto de referencia Petya_File_Name Lista los nombres de archivo asociados con el ransomware Petya/NotPetya.
Conjunto de referencia Petya_FileHash Lista los hashes de archivo asociados con el ransomware Petya/NotPetya.
Conjunto de referencia Petya_HostName Lista los nombres de host asociados con el ransomware Petya/NotPetya.
Conjunto de referencia Petya_IP Lista las direcciones IP asociadas con el ransomware Petya/NotPetya.
Conjunto de referencia WCry_FileHash Lista los hashes de archivo asociados con el ransomware WannaCry.
Conjunto de referencia WCry_FileName Lista los nombres de archivo asociados con el ransomware WannaCry.
Conjunto de referencia WCry_HostName Lista los nombres de host asociados con el ransomware WannaCry.
Conjunto de referencia WCry_IP Lista las direcciones IP asociadas con el ransomware WannaCry.

La tabla siguiente muestra las búsquedas guardadas en IBM Security QRadar Endpoint

Tabla 27. Búsquedas guardadas en IBM Security QRadar Punto final
Nombre Descripción
Suceso de BadRabbit "DestinationIP" en las últimas 24 horas Muestra sucesos con una dirección IP de destino de BadRabbit conocida.
Suceso de BadRabbit "FileHash" en las últimas 24 horas Muestra sucesos con un hash de archivo BadRabbit conocido.
Suceso de BadRabbit "Hostname" en las últimas 24 horas Muestra sucesos con un nombre de host de BadRabbit conocido.
Suceso de BadRabbit "SourceIP" en las últimas 24 horas Muestra sucesos con una dirección IP de origen de BadRabbit conocida.
Flujos de BadRabbit "DestinationIP" en las últimas 24 horas Visualiza los flujos con una dirección IP de destino de BadRabbit conocida.
Flujos de BadRabbit "SourceIP" en las últimas 24 horas Muestra los flujos con una dirección IP de origen de BadRabbit conocida.
Tráfico UDP de salida Muestra los flujos de salida que utilizan UDP.
Suceso de Petya/NotPetya "DestinationIP" en las últimas 24 horas Muestra sucesos con una dirección IP de destino de Petya/NotPetya conocida.
Suceso de Petya/NotPetya "File Hash" en las últimas 24 horas Muestra sucesos con un hash de archivo Petya/NotPetya conocido.
Suceso de Petya/NotPetya "SourceIP" en las últimas 24 horas Muestra sucesos con una dirección IP de origen de Petya/NotPetya conocida.
Flujos de Petya/NotPetya "DestinationIP" en las últimas 24 horas Muestra los flujos con una dirección IP de destino de Petya/NotPetya conocida.
Flujos de Petya/NotPetya "SourceIP" en las últimas 24 horas Muestra los flujos con una dirección IP de origen de Petya/NotPetya conocida.
Flujos de Petya/NotPetya en las últimas 24 horas Muestra los flujos asociados con Petya/NotPetya.
Ransomware potencial (actividad sospechosa, posible Petya, NotPetya) Muestra los flujos con cargas útiles sospechosas asociadas con ransomware.
Sucesos de WannaCry "Destination Hostname" en las últimas 24 horas Muestra sucesos con un nombre de host de destino WannaCry conocido.
Sucesos de WannaCry "DestinationIP" en las últimas 24 horas Muestra sucesos con una dirección IP de destino WannaCry conocida.
Sucesos de WannaCry "File Hash" en las últimas 24 horas Muestra sucesos con un hash de archivo WannaCry conocido.
Sucesos de WannaCry "Host Name" en las últimas 24 horas Muestra sucesos con un nombre de host WannaCry conocido
Sucesos de WannaCry "Source Host Name" en las últimas 24 horas Muestra los sucesos con un nombre de host de origen WannaCry conocido.
Sucesos de WannaCry "SourceIP" en las últimas 24 horas Muestra sucesos con una dirección IP de origen WannaCry conocida.
Sucesos de WannaCry "URL" en las últimas 24 horas Muestra los sucesos con un URL de WannaCry conocida.
Flujos de WannaCry en las últimas 24 horas Muestra los flujos asociados con WannaCry.

(Volver arriba)

IBM Security QRadar Punto final 1.0.0

En la tabla siguiente se muestran las propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 1.0.0.

Tabla 28. Propiedades personalizadas en IBM Security QRadar Endpoint Content Extension 1.0.0
Nombre Optimizada Se encuentra en
Application Sí Linux
Arquitectura Sí Linux
ID de auditoría Sí Linux
Tipo de llamada Sí Linux
Argumentos del mandato Sí Linux
Directorio de archivos codificados Sí Linux
Nombre de archivo codificado Sí Linux
Directorio de archivos Sí
Extensión de archivo Sí
Permisos del archivo Sí
Nombre de archivo Sí
Nombre de grupo Sí
ID de máquina Sí
Hash MD5 Nee
Nombre de proceso padre Sí
Línea de comandos de proceso Sí
Nombre de proceso Sí
Vía de acceso de proceso Sí
Número de registro Nee Linux
Clave de registro Sí Microsoft Windows
Datos de valor de registro Sí Microsoft Windows
Nombre de regla Sí Microsoft Windows
Hash SHA256 Sí
Nombre de usuario de destino Sí
Tipo de elevación de señal Sí Microsoft Windows
UrlHost Sí
ID de usuario Sí

En la tabla siguiente se muestran las reglas y los componentes básicos en IBM Security QRadar Endpoint 1.0.0.

Cuadro 29. Reglas y bloques de construcción en IBM Security QRadar Endpoint 1.0.0
Tipo Nombre Descripción
Bloque de construcción BB:BehaviorDefinition: Privilegios administrativos añadidos (Unix) Detecta los privilegios administrativos añadidos a los usuarios estándar. Un adversario puede escalar sus privilegios para nuevos ataques.
Bloque de construcción BB:BehaviorDefinition: Privilegios administrativos añadidos (Windows) Detecta los privilegios administrativos añadidos a los usuarios estándar. Un adversario puede escalar sus privilegios para nuevos ataques.
Bloque de construcción BB:BehaviorDefinition: Privilegios administrativos eliminados (Windows) Detecta la eliminación de permisos de un grupo de superusuarios. Un adversario puede quitar privilegios elevados para evitar las acciones de mitigación por parte de los administradores.
Bloque de construcción BB:BehaviorDefinition: apropiación de modelo de objetos componentes Detecta las actividades de apropiación de modelos de objetos componentes (COM). Supervisa los detalles del registro que se podrían modificar para cargar un proceso distinto. Por ejemplo, el indicador de mandatos se ha modificado para ejecutar un archivo .exe malicioso en su lugar y a ello le sigue una creación de procesos.
Bloque de construcción BB:BehaviorDefinition: reglas de apropiación de modelo de objetos componentes Detecta la actividad de confiscación del Modelo de objetos componentes (COM) supervisando las modificaciones del registro en el manejador de Windows Tooltip, las claves que contienen la aplicación para establecer la conversación de Dynamic Data Exchange (DDE) y las claves que contienen la vía de acceso de una DLL (Dynamic Link Library).
Bloque de construcción BB:BehaviorDefinition: información de procesos de la herramienta de seguridad crítica Detecta si un mensaje de auditoría registra información sobre una herramienta de seguridad crítica como respuesta a que su ID de proceso esté siendo objetivo de otra señal.
Bloque de construcción BB:BehaviorDefinition: programas de utilidad de descarga en sucesos Detecta si se está utilizando un programa de utilidad de descarga en un punto final, como ftp, sftp, curl, cuteftp, wget, certutil, bits o nc.
Bloque de construcción BB:BehaviorDefinition: descubrimiento de cuenta o grupo Coincide cuando se ejecuta una acción de descubrimiento de cuenta o grupo.
Bloque de construcción BB:BehaviorDefinition: se han creado una carpeta o un archivo ocultos Se activa cuando se crean una carpeta o un archivo ocultos. Las carpetas y los archivos ocultos pueden presentar tres formatos:
  • Empezar por un punto
  • Empezar por un punto y contener un espacio
  • Basado en permisos (por ejemplo, -rwx------)
Bloque de construcción BB:BehaviorDefinition: descubrimiento de política de contraseñas (Unix) Detecta si se ejecuta una acción de descubrimiento de política de contraseñas. De forma predeterminada, este bloque de construcción observa los archivos siguientes:
  • /etc/login.defs
  • /etc/pam.d/common-password
  • /etc/pam.d/system-auth
  • /etc/security/pwquality.conf
Bloque de construcción BB:BehaviorDefinition: descubrimiento de política de contraseñas (Windows) Detecta si se ejecuta una acción de descubrimiento de política de contraseñas.
Bloque de construcción BB:BehaviorDefinition: actividad de descarga de archivo de PowerShell Detecta si se utiliza PowerShell para descargar archivos.
Bloque de construcción BB:BehaviorDefinition: proceso interrumpido Se desencadena cuando un proceso Linux se termina utilizando la llamada al sistema kill .
Bloque de construcción BB:BehaviorDefinition: administración de punto final regular Define la actividad de administración regular, como la gestión de usuarios, la descarga de archivos en línea de mandatos o la ejecución con privilegios elevados.
Bloque de construcción BB:BehaviorDefinition: ejecutar como superusuario o como otro usuario (Unix) Detecta si los programas se ejecutan como root o como otro usuario.
Bloque de construcción BB:BehaviorDefinition: se ejecuta como superusuario o como otro usuario (Windows) Detecta si los programas se ejecutan como administrador o si los ejecuta otro usuario.
Bloque de construcción BB:BehaviorDefinition: actividades de punto final sospechosas Define las actividades de punto final sospechosas.
Bloque de construcción BB:BehaviorDefinition: cuenta de usuario añadida (Unix) Detecta si se crea una cuenta de usuario.
Bloque de construcción BB:BehaviorDefinition: cuenta de usuario añadida (Windows) Detecta si se crea una cuenta de grupo o usuario.
Bloque de construcción BB:BehaviorDefinition: cuenta de usuario suprimida (Unix) Detecta si se suprime una cuenta de usuario.
Bloque de construcción BB:BehaviorDefinition: cuenta de usuario suprimida (Windows) Detecta si se suprime una cuenta de grupo o usuario.
Bloque de construcción BB:CategoryDefinition: decodificación de archivo por parte de un programa de utilidad Detecta si se utiliza un programa de utilidad para decodificar archivos.
Bloque de construcción BB:CategoryDefinition: permiso de archivo modificado Detecta cuando se ha ejecutado un mandato para cambiar los permisos asignados a un archivo.
Bloque de construcción BB:CategoryDefinition: archivos con permisos confidenciales Define los archivos cuyos permisos no se deberían modificar. Esto puede revelar el comportamiento de un atacante que intenta impedir el funcionamiento normal. De forma predeterminada, este bloque de construcción observa los archivos siguientes:
  • /boot/
  • /etc/pam.d/
  • /etc/shadow
  • /etc/passwd
  • /etc/rsyslog/
  • /etc/openldap/
  • /etc/sysconfig/syslog
  • /etc/syslog.conf
  • /etc/sysconfig/network-scripts/
  • /etc/default/ufw
  • /etc/sudoers
Bloque de construcción BB:DeviceDefinition: Sistema operativo Define todos los sistemas operativos del sistema.
Regla Comunicación con un host posiblemente hostil Detecta las comunicaciones con un host posiblemente hostil, categorizado por X-force o en la recopilación de conjuntos de referencia.
Regla Comunicación con una dirección IP posiblemente hostil Detecta las comunicaciones con una dirección IP posiblemente hostil, categorizada por X-force o en la recopilación de conjuntos de referencia.
Regla Actividades de volcado de credenciales descubiertas Se desencadena cuando se detectan actividades de volcado de credenciales en el registro de Windows. Los adversarios pueden consultar el registro en busca de credenciales y contraseñas, almacenadas para su uso por parte de otros programas o servicios, y explotar dichas credenciales. Entre las actividades de volcado de credenciales se incluyen, entre otras, las siguientes:
  • Exploración de registro en busca de contraseñas que puedan ser utilizadas por el sistema u otros programas
  • Volcado de hash utilizando el Administrador de cuentas de seguridad
  • Modificación del registro de WDigest para permitir el almacenamiento de contraseñas en texto sin formato.

Las condiciones siguientes del filtro de AQL indican tres métodos de volcado de credenciales implementados en esta regla. Cada método se puede implementar por separado utilizando estos filtros de AQL con fines de ajuste.

  1. Un adversario puede buscar en las estructuras de registro explorando los valores de contraseña: cuando el suceso coincide con LOWER("Process CommandLine") MATCHES 'reg\s+query.*password.*' Consulta de filtro AQL.
  2. Un adversario puede volcar y filtrar las estructuras de registro con fines maliciosos. Esta es una indicación del volcado de credenciales a través del Administrador de cuentas de seguridad: cuando el suceso coincide con la consulta de filtro de AQL LOWER("Process CommandLine") MATCHES 'reg.*save.*(sam|system|security)'.
  3. Esta modificación de clave de registro obliga a wdigest a almacenar credenciales en texto sin formato la próxima vez que alguien inicie sesión en este sistema: cuando el suceso coincida con LOWER("Process CommandLine) MATCHES 'reg\s+(add|query).*uselogoncredential.*' Consulta de filtro AQL cuando el suceso coincide con la consulta de filtro de AQL LOWER("Registry Key") MATCHES '\\system\\(controlset001|controlset002|currentcontrolset).*wdigest'.
Regla Permiso de archivo crítico modificado (Unix) Se activa cuando se modifica el permiso de directorios o archivos críticos. Un atacante puede modificar los permisos de un archivo sensible para convertirse en el único usuario capaz de acceder a dicho archivo y, a continuación, degradarlo, destruir sus datos o inhabilitar las herramientas de seguridad.
Nota: Edite el Building Block BB:CategoryDefinition: Files with Sensitive Permissions con los archivos o directorios que desea supervisar. Estas ubicaciones deberían estar relacionadas con el arranque, la copia de seguridad, el registro o las credenciales, aspectos cuya explotación reviste mayor gravedad.
Regla Herramienta de seguridad crítica interrumpida (Unix) Detecta si se ha interrumpido un proceso de seguridad crítico. Un adversario puede inhabilitar las herramientas de seguridad para impedir la detección.
Nota: Los componentes básicos incluidos en esta regla utilizan el conjunto de referencia Procesos críticos de la herramienta de seguridad . El conjunto de referencia Procesos de herramienta de seguridad críticos se ha rellenado previamente con nombres de procesos comunes de herramientas de seguridad. Ajuste el conjunto de referencia con las herramientas que utilice la empresa.
Regla Herramienta de seguridad crítica detenida Se activa cuando se modifica el permiso de directorios o archivos críticos. Un atacante puede modificar los permisos de un archivo sensible para convertirse en el único usuario capaz de acceder a dicho archivo y, a continuación, degradarlo, destruir sus datos o inhabilitar las herramientas de seguridad.
Nota: El conjunto de referencia Procesos de herramientas de seguridad críticos se ha rellenado previamente con nombres de proceso de herramientas de seguridad comunes. Ajuste el conjunto de referencia con las herramientas que utilice la empresa.
Regla Detección de IOC malicioso Detecta si un IOC se ha categorizado como malicioso en una recopilación de conjuntos de referencia.
Regla Archivo creado con reemplazo de derecha a izquierda Se activa cuando el carácter Reemplazo de derecha a izquierda (U+202E) se encuentra en el nombre de un archivo creado. En algunos sistemas operativos, la interfaz gráfica procesará este carácter, revirtiendo el orden de visualización de partes del nombre de archivo.
Regla Archivo creado con espacio después del nombre de archivo Se activa cuando el último carácter de un nombre de archivo es un espacio. Esto fuerza al sistema operativo a determinar el tipo de archivo y ejecutarlo en consecuencia, incluso aunque parezca existir una extensión de archivo válida. Por ejemplo, un script de shell denominado info.txt se abriría como un archivo de texto, mientras que info.txt (con un espacio tras el nombre) se abrirá con el programa predeterminado que maneje los scripts de shell.
Regla Descarga o decodificación de archivo seguida de actividad sospechosa Se activa cuando se utilizan programas de utilidad, como certutil, para decodificar un archivo. Esto puede indicar un usuario malicioso que descarga un archivo codificado y decodifica el archivo para evadir la seguridad.
Regla Posible apropiación de modelo de objetos componentes (COM) Detecta las posibles actividades de apropiación de modelos de objetos componentes (COM). Un atacante puede ejecutar código malicioso apropiándose de referencias COM legítimas.
Regla Posible apropiación de DLL Se activa cuando se crea o se descarga un archivo de biblioteca de enlaces dinámicos (DLL) que, a continuación, carga una aplicación. Puede indicar una apropiación de orden de búsqueda en DLL.
Nota: Excluya los procesos a supervisar para reducir los falsos positivos.
Regla Posible corrección de compatibilidad de aplicaciones maliciosa Detecta la actividad de corrección de compatibilidad de aplicaciones supervisando las modificaciones del registro. Los atacantes pueden utilizar funcionalidades de retrocompatibilidad para realizar la escalada de privilegios, instalar puertas traseras, etc. Las bases de datos personalizadas se pueden encontrar en las siguientes ubicaciones:
  • %WINDIR%\AppPatch\Custom
  • %WINDIR%\AppPatch\CustomSDB
  • %WINDIR%\AppPatch\AppPatch64\Custom
Nota: El conjunto de referencia Shims Allowlist se llena con los shims predeterminados instalados por el instalador de Windows predeterminado. Ajuste este conjunto de referencia añadiendo correctores de compatibilidad personalizados.
Regla Enmascaramiento de procesos (Unix) Se activa cuando un proceso se ejecuta desde un directorio desde el que no debería ejecutarse. Un atacante puede hacerse pasar por un proceso legítimo para evitar la detección y, de este modo, ejecutar mandatos maliciosos desde un proceso no legítimo.
Nota: Ajuste esta regla para incluir o excluir cualquier directorio.
Regla Enmascaramiento de procesos (Windows) Se activa cuando un proceso confidencial se ejecuta desde un directorio no legítimo. Un atacante puede hacerse pasar por un proceso legítimo para evitar la detección y, de este modo, ejecutar mandatos maliciosos desde un proceso no legítimo.
Nota: El conjunto de referencia Nombres de proceso confidenciales se llena con procesos confidenciales conocidos. Ajuste este conjunto de referencia añadiendo procesos que supervisar. El conjunto de correlaciones de referencia Nombre de proceso y directorios de proceso predeterminados contiene directorios y nombres de procesos confidenciales. Ajuste estos datos de referencia añadiendo la ubicación predeterminada de los procesos confidenciales.
Regla Entorno de programación generado por un proceso sospechoso Se activa cuando un proceso sospechoso genera un entorno de programación. Esto puede indicar un atacante que intenta ejecutar un script malicioso.
Regla Proceso que se recomienda bloquear en ejecución Detecta un proceso que se recomienda bloquear que se está ejecutando en el sistema. Microsoft Windows enumera las reglas de bloqueo recomendadas para deshabilitar aplicaciones que pueden ser potencialmente explotadas por un atacante y también eludir el Control de aplicaciones de Windows Defender.
Nota: El conjunto de referencia Procesos bloqueados recomendados se rellena previamente con las aplicaciones explotadas habitualmente por Microsoft. Ajuste el conjunto de referencia añadiendo los procesos de punto final que se ajusten a las necesidades de su negocio.
Regla Actividad sospechosa seguida de una tarea de administración de punto final Detecta las tareas de administración normales (descargar un archivo, actualizar los derechos de usuario, ejecutar como otro usuario, etc.) que se ejecutan tras detectarse una actividad sospechosa en la misma máquina.
Regla Creación de cuenta de usuario seguida de una eliminación de cuenta Se activa cuando un usuario se crea y se suprime en un breve periodo de tiempo. Esto puede indicar un atacante o un programa malicioso que intenta ocultar o evadir la detección mediante diferentes cuentas de usuario o para descartar una bomba en el sistema.

La tabla siguiente muestra los datos de referencia en IBM Security QRadar Endpoint 1.0.0.

Cuadro 30. Datos de referencia en IBM Security QRadar Endpoint 1.0.0
Tipo Nombre Descripción
Correlación de referencia de conjuntos Nombre de proceso y directorios de proceso predeterminados Esta correlación de referencia de conjuntos lista los procesos confidenciales y sus directorios.
Datos de referencia pulse_imports Parte del panel de control de Pulse.
Conjunto de referencia IP de anonimización Lista las direcciones IP de anonimizador identificadas.
Conjunto de referencia IP de botnet C&C Lista el mandato botnet identificado y las direcciones IP de servidor de control.
Conjunto de referencia IP de botnet Lista las direcciones IP de botnet identificadas.
Conjunto de referencia Procesos de herramienta de seguridad crítica Lista las herramientas de seguridad críticas.
Conjunto de referencia URL maliciosos Lista los URL maliciosos identificados.
Conjunto de referencia MD5 de hashes de programa malicioso Lista los hashes de programa malicioso md5 identificados.
Conjunto de referencia SHA de hashes de programa malicioso Lista los hashes de programa malicioso sha256 identificados.
Conjunto de referencia IP de programa malicioso Lista las direcciones IP de programa malicioso identificadas.
Conjunto de referencia URL de programa malicioso Lista los URL de programas maliciosos identificados.
Conjunto de referencia IP de phishing Lista las direcciones IP de phishing identificadas.
Conjunto de referencia URL de phishing Lista los URL de phishing identificados.
Conjunto de referencia Procesos que se recomienda bloquear Lista los procesos que se recomienda bloquear.
Conjunto de referencia Nombres de proceso confidenciales Lista los procesos confidenciales.
Conjunto de referencia Lista de elementos permitidos de correctores de compatibilidad Lista el registro de shimming de las aplicaciones.

(Volver arriba)