Endpoint

Utilizzate l'estensione IBM Security QRadar Endpoint Content Extension per monitorare da vicino gli endpoint Linux® e Windows della vostra distribuzione.

Importante per evitare errori di contenuto in questa estensione di contenuto, tenere aggiornati i DSM associati. I DSM vengono aggiornati come parte degli aggiornamenti automatici. Se gli aggiornamenti automatici non sono abilitati, scaricare la versione più recente dei DSM associati da IBM® Fix Central (https://www.ibm.com/support/fixcentral).

L'estensione del contenuto dell'endpoint include uno o più cruscotti QRadar Pulse. Per ulteriori informazioni sui cruscotti QRadar Pulse, vedere QRadar App Pulse.

Configurare gli endpoint Linux e Windows da monitorare per l'uso di questa estensione di contenuto.

IBM Sicurezza QRadar Endpoint 3.1.1

La tabella seguente illustra le regole nuove e aggiornate, nonché i moduli di base disponibili in IBM Security QRadar Endpoint Content Extension 3.1.1.

Tabella 1. Regole in IBM Sicurezza QRadar Estensione per i contenuti degli endpoint 3.1.1
Tipo	Nome	Descrizione
Regola	Ransomware: chiusura del servizio o del processo Ryuk	È stato risolto il problema relativo a questa regola e la logica è stata aggiornata per riflettere le modifiche.

Tipo	Nome	Descrizione
Regola	PowerShell Base64 Invocare comandi sospetti di espressione	Regola per rilevare i comandi PS Base64, ad esempio IEX, invoke-expression e Invoke-Expression, in base agli ID evento 4688 o 4104 o 1.
Regola	PowerShell Invocare comandi sospetti di espressione	Regola per rilevare il comando Invoke Expression sospetto di PowerShell in testo normale in base agli ID evento 4688, 4104 e 1
Regola	File eseguibile invocato dalla cartella AppData	La directory AppData è nascosta per impostazione predefinita e il suo contenuto non viene in genere modificato dall'utente. Le applicazioni eseguibili eseguite dall'App Data Directory devono essere sottoposte a triaging, poiché questo comportamento è spesso utilizzato da attori malintenzionati.
Regola	Eseguibile da C:Users\Public	Un file eseguibile eseguito dalla posizione C:Users\Public deve essere analizzato, poiché questo comportamento è spesso utilizzato da attori malintenzionati.
Regola	PowerShell Comando codificato	La codifica dei comandi è spesso utilizzata dagli attori malintenzionati per offuscare la propria attività.
Regola	PowerShell Bypass dei criteri di esecuzione	Execution Policy Bypass è una tecnica comunemente utilizzata per aggirare i criteri di esecuzione di PowerShell e deve essere gestita in quanto questo comportamento è spesso utilizzato da attori malintenzionati.
Regola	PowerShell A Base64 Stringa	Base 64 è uno schema di codifica e viene spesso utilizzato da attori malintenzionati per offuscare le proprie attività.

Tipo	Nome	Descrizione
Regola	Potenziale file Javascript dannoso richiamato tramite WScript	Questa regola è progettata per rilevare l'esecuzione di un file JavaScript utilizzando Wscript. Questa è una tattica nota che viene utilizzata da diversi programmi dannosi come SocGholish, Gootloader.
Regola	Potenziale file Javascript dannoso richiamato tramite CScript	Questa regola è progettata per rilevare l'esecuzione di un file JavaScript utilizzando Cscript. Questa è una tattica nota che viene utilizzata da diversi programmi dannosi come SocGholish, Gootloader.
Regola	Potenziale sfruttamento di Sharepoint ToolShell CVE-2025-53770	È stato progettato per rilevare la creazione di un sito WebShell che è noto per essere usato nel potenziale exploit della vulnerabilità Sharepoint ToolShell CVE-2025-53770.
Regola	Potenziale exploit di Sharepoint ToolShell CVE-2025-53770 - Percorso dei file	È stato progettato per rilevare un tipo di file specifico eseguito dal percorso di file noto, utilizzato per sfruttare la vulnerabilità di Sharepoint ToolShell CVE-2025-53770. Questo potrebbe essere un indicatore di compromissione o essere parte di un test interno per questa vulnerabilità e richiede ulteriori indagini.

Tipo	Nome	Descrizione
Regola	PowerShell Attacco di declassamento	Questa regola si attiva quando un avversario potrebbe ripristinare PowerShell alla versione 4 o precedente del motore.
Regola	Eseguibili avviati nella cartella sospetta	La regola si attiva quando viene rilevata un'esecuzione sospetta in una cartella non comune.
Regola	MavInject Iniezione di processo	Questa regola si attiva quando viene rilevata l'iniezione di un processo tramite lo strumento MavInject di Windows attraverso il nome del processo o un parametro della riga di comando.
Regola	Esecuzione dello strumento di hacking di Rubeus	Questa regola si attiva quando viene rilevata l'esecuzione dello strumento di hacking Rubeus attraverso il nome del processo o i parametri della riga di comando.
Regola	Tubo maligno	Questa regola si attiva quando viene rilevata la creazione o la connessione a una named pipe utilizzata da un malware noto.
Regola	Ping all'indirizzo IP esadecimale	Questa regola si attiva quando viene rilevato che il comando ping è stato eseguito con un indirizzo IP in forma esadecimale.
Regola	Nuovo tasto RUN che punta alla cartella sospetta	Questa regola si attiva quando nel registro di Windows Explorer viene creata una chiave di esecuzione che punta a una cartella sospetta.
Regola	Aggiungi la cronologia dei SID all'oggetto Active Directory	Questa regola si attiva quando un attributo SID History viene aggiunto a un oggetto Active Directory.
Regola	Potenziale LSASS.exe attività di dump delle credenziali	Questa regola si attiva quando viene rilevato l'accesso SAM_DOMAIN dal file LSASS.exe, indicando attività come il dumping delle credenziali.
Regola	Comandi malevoli PowerShell	Questa regola si attiva quando viene rilevata l'esecuzione di una Commandlet PowerShell da un framework di sfruttamento noto PowerShell.
Regola	PowerShell Chiamato da un errore di versione dell'eseguibile	Questa regola rileva quando PowerShell viene richiamato da un file eseguibile arbitrario confrontando le versioni Host e Engine.
Regola	Catalogo di backup eliminato	Questa regola si attiva quando viene eseguito un comando per eliminare il catalogo di backup memorizzato sul computer locale.
Regola	Accesso ai dati di accesso del browser	Questa regola si attiva quando le credenziali di accesso memorizzate (come nomi utente e password) dai browser Web vengono visualizzate o recuperate. La regola potrebbe indicare un avversario che acquisisce le credenziali dai browser web leggendo i file specifici del browser di destinazione.
Regola	Esecuzione di Java con debug remoto	Questa regola si attiva quando un processo Java è in esecuzione con il debug remoto abilitato, consentendo connessioni da fonti diverse dall'host locale.
Regola	Potenziale ricognizione delle credenziali nella cache tramite Cmdkey.exe	Questa regola si attiva quando viene rilevato l'uso di cmdkey per cercare le credenziali nella cache del sistema. La regola potrebbe indicare che un avversario sta tentando di accedere alle credenziali di dominio memorizzate nella cache per consentire l'autenticazione nel caso in cui un controller di dominio non sia disponibile. Nota: Per impostazione predefinita, la regola è disattivata perché cmdkey può essere utilizzato per attività amministrative legittime. Attivare questa regola se si desidera identificare l'uso della riga di comando indicativo di una ricognizione delle credenziali nella cache.
Regola	Installazione della DLL Callout DHCP	Questa regola si attiva quando viene rilevata l'installazione di una DLL Callout tramite il parametro CalloutDlls e CalloutEnabled nel Registro di sistema. La regola potrebbe indicare l'uso di CalloutDlls per eseguire codice nel contesto del server DHCP.
Regola	Active Directory Backdoor utente	Questa regola rileva quando un utente può controllare un altro account senza specificare le credenziali dell'account di destinazione.
Regola	PowerShell Scaricare ed eseguire il file	Questa regola si attiva quando un comando PowerShell scarica ed esegue un file remoto.
Regola	NTDS.dit Attività di recupero degli hash di dominio	Questa regola si attiva quando un comando sospetto potrebbe essere collegato a tentativi di recupero di hash dal file NTDS.dit.
Regola	InvisiMole DLL wrapper caricata	Questa regola si attiva quando viene rilevata un'attività di processo associata al caricatore InvisiMole.
Blocco di generazione	BB:BehaviorDefinition: Esecuzione arbitraria di script tramite Diskshadow.exe o Vshadow.exe	Il blocco si attiva quando il file diskshadow.exe o vshadow.exe viene avviato con un parametro per eseguire uno script arbitrario. Il blocco potrebbe indicare un tentativo dannoso di accedere a file sensibili come NTDS.dit.
Blocco di generazione	BB:BehaviorDefinition: Elenco delle connessioni di rete tramite Get-NetTCPConnection	Il Building Block si attiva quando una richiesta di informazioni sulla rete genera un elenco di connessioni di rete.
Blocco di generazione	BB:BehaviorDefinition: PowerShell Attività di download di file	Il Building Block rileva quando PowerShell viene utilizzato per scaricare i file.

Nome	Ottimizzato	Trovato in
Storia del SID	VERO	Microsoft Windows
Versione del motore	VERO	Microsoft Windows
Delega	FALSO	Microsoft Windows
Classe oggetto	FALSO	Microsoft Windows
Nome di visualizzazione LDAP	FALSO	Microsoft Windows
Versione host	VERO	Microsoft Windows
Nome pipe	VERO	Microsoft Windows

Tipo	Nome	Descrizione
Regola	Errori di accesso multipli dovuti alla password non corretta	Rileva l'attacco di spruzzatura della password.
Regola	Tentativo di forzatura bruta possibile	Rileva l'attacco di forza bruta.
Regola	Remoto: accesso VNC da Internet	Si attiva quando viene rilevata un'applicazione di Virtual Network Computing (VNC) da Internet a un host locale.
Regola	Remoto: accesso desktop remoto da Internet	Si attiva quando viene rilevato il protocollo Microsoft Remote Desktop Protocol (RDP) da Internet a un host locale.
Regola	Accesso account validi sospetti	Si attiva quando viene rilevato un accesso sospetto da un account valido.
Regola	Parente sospetto per un processo	Si attiva quando un processo che non dovrebbe avere un figlio avvia un processo.
Regola	File critico eliminato	Si attiva quando un file critico o un file in una directory critica viene eliminato.
Regola	File critico modificato seguito da un'attività sospetta	Si attiva quando vengono modificati file o directory critici e si verifica un'attività sospetta.
Regola	Comunicazione con un indirizzo IP potenzialmente ostile	Si attiva quando si verifica una comunicazione con un indirizzo IP potenzialmente ostile. Gli indirizzi IP potenzialmente ostili sono registrati in IBM X-force o nella raccolta di set di riferimento personalizzati.
Regola	Utilizzo del modulo PSExec sospetto rilevato	Si attiva quando viene rilevato un uso del modulo PSExec.
Regola	Servizio configurato per utilizzare PowerShell	Si attiva quando un servizio è configurato per utilizzare PowerShell.
Regola	Ransomware: Ryuk IOC negli eventi	Si attiva quando un IOC (File Hash) relativo al ransomware Ryuk viene osservato negli eventi.
Regola	Ransomware: Ryuk IOC in Flussi	Si attiva quando nei flussi viene osservato un IOC (File Hash) relativo al ransomware Ryuk.
Regola	Dump delle credenziali da Windows Credential Manager con PowerShell	Rileva un tentativo di ricerca di posizioni comuni per la memorizzazione delle password per ottenere le credenziali dell'utente.
Regola	Enumerare credenziali da Windows Credential Manager con PowerShell	Rileva i tentativi consecutivi di ricerca di posizioni comuni per la memorizzazione delle password per ottenere le credenziali degli utenti.
Regola	Impersonificazione token tramite PowerShell	Rileva un tentativo di utilizzo di funzioni API di Windows relative all'impersonificazione di token o al furto di token.
Regola	Regsvr32 Connessione di rete in uscita	Rileva le connessioni in uscita avviate dal file regsvr32.exe.
Regola	Connessione di rete in uscita Dllhost	Rileva le connessioni in uscita avviate dal file dllhost.exe.
Regola	RunDLL32 Connessione di rete in uscita	Rileva le connessioni in uscita avviate dal file rundll32.exe.
Regola	Ransomware: Petya / NotPetya Payload nei flussi	Si attiva quando un payload Petya viene osservato nei flussi.
Regola	Abuso token di accesso	Rileva l'impersonificazione e il furto di token. (Esempio: DuplicateToken(Ex) e ImpersonateLoggedOnUser con il flag LOGON32_LOGON_NEW_CREDENTIALS)
Regola	Rilevamento del Registro Turla IOC negli eventi	Si attiva quando un IOC viene riconosciuto come valore di registro Turla.
Regola	Potenziale StandIn traffico post-compromesso	Si attiva quando viene rilevato un comportamento potenzialmente appartenente a X-Force Red StandIn.
Blocco di generazione	BB:CategoryDefinition:File con permessi sensibili	Si attiva quando la directory di lavoro corrente (CWD) viene rilevata nelle seguenti directory: /boot /etc/pam.d /etc/rsyslog /etc/openldap /etc/sysconfig/network-script /var/spool/cron /etc/cron* (per esempio /etc/cron.hourly, /etc/cron.weekly) /etc/init.d/ bin/login /bin/passwd /etc/*.conf I seguenti file sono sotto osservazione: /etc/shadow /etc/passwd /etc/sudoers /etc/syslog.conf /etc/crontab /etc/gshadow /etc/group /etc/sysconfig/syslog /etc/security/opasswd /etc/default/ufw .bash_history /usr/bin /usr/sbin /bin /boot /usr/local/bin /usr/local/sbin /opt/bin /opt/sbin Windows C:\autoexec.bat C:\boot.ini C:\config.sys C:\Windows\system.ini C:\Windows\win.ini C:\Windows\regedit.exe C:\Windows\System32\userinit.exe C:\Windows\explorer.exe C:\Program Files\Microsoft Security Client\msseces.exe
Blocco di generazione	BB:CategoryDefinition: Directory di lavoro corrente sensibile	Definisce le directory di lavoro correnti sensibili che attivano gli avvisi per gli attacchi di directory traversal.
Blocco di generazione	BB:CategoryDefinition: File sensibile consultato	Definisce una regola che si attiva quando la directory di lavoro corrente (CWD) viene rilevata nelle seguenti directory: /boot /etc/pam.d /etc/rsyslog /etc/openldap /etc/sysconfig/network-script /var/spool/cron /etc/cron* (per esempio /etc/cron.hourly, /etc/cron.weekly) /etc/init.d/ bin/login /bin/passwd /etc/*.conf I seguenti file sono sotto osservazione: /etc/shadow /etc/passwd /etc/sudoers /etc/syslog.conf /etc/crontab /etc/gshadow /etc/group /etc/sysconfig/syslog /etc/security/opasswd /etc/default/ufw .bash_history /usr/bin /usr/sbin /bin /boot /usr/local/bin /usr/local/sbin /opt/bin /opt/sbin Windows C:\autoexec.bat C:\boot.ini C:\config.sys C:\Windows\system.ini C:\Windows\win.ini C:\Windows\regedit.exe C:\Windows\System32\userinit.exe C:\Windows\explorer.exe C:\Program Files\Microsoft Security Client\msseces.exe
Blocco di generazione	BB:BehaviorDefinition: Individuazione delle directory (Windows)	Definisce quando il comando PowerShell Get-ChildItem viene usato per scoprire le directory in modo ricorsivo. Questo evento si verifica quando viene specificato il parametro `-Recurse` o quando il comando viene utilizzato all'interno di un ciclo ForEach.
Blocco di generazione	BB:BehaviorDefinition: Potenziale StandIn Traffico post-compromesso	Si attiva quando viene osservato un processo relativo allo strumento StandIn. StandIn è uno strumento di penetration-testing comunemente utilizzato dai team rossi. Tuttavia, gli attori malintenzionati possono utilizzare questa applicazione per gli attacchi.
Blocco di generazione	BB:BehaviorDefinition: Potenziale StandIn Traffico di persistenza post-compromissione	Si attiva quando vengono osservati i comandi di persistenza relativi allo strumento StandIn. StandIn è uno strumento di penetration-testing comunemente utilizzato dai team rossi. Tuttavia, gli attori malintenzionati possono utilizzare questa applicazione per gli attacchi.
Blocco di generazione	BB:BehaviorDefinition: Potenziale StandIn Traffico di evasione della difesa post-compromissione	Si attiva quando vengono osservati i comandi di elusione della difesa relativi allo strumento StandIn. StandIn è uno strumento di penetration-testing comunemente utilizzato dai team rossi. Tuttavia, gli attori malintenzionati possono utilizzare questa applicazione per gli attacchi.
Blocco di generazione	BB:BehaviorDefinition: Potenziale StandIn Traffico di escalation dei privilegi post-compromissione	Si attiva quando vengono osservati i comandi di escalation dei privilegi relativi allo strumento StandIn. StandIn è uno strumento di penetration-testing comunemente utilizzato dai team rossi. Tuttavia, gli attori malintenzionati possono utilizzare questa applicazione per gli attacchi.
Blocco di generazione	BB:BehaviorDefinition: Potenziale StandIn Traffico di enumerazione post-compromissione	Si attiva quando vengono osservati i comandi di enumerazione relativi allo strumento StandIn. StandIn è uno strumento di penetration-testing comunemente utilizzato dai team rossi. Tuttavia, gli attori malintenzionati possono utilizzare questa applicazione per gli attacchi.

Tipo	Nome	Descrizione
Regola	Comandi exploit vulnerabilità trasferimento MOVEit	Rileva l'exploit di vulnerabilità del trasferimento MOVEit tramite l'indicatore di compromissione della riga comandi.
Regola	Nome file exploit vulnerabilità trasferimento MOVEit	Rileva l'exploit di vulnerabilità del trasferimento MOVEit tramite l'indicatore di compromissione del nome file.
Regola	Hash exploit vulnerabilità trasferimento MOVEit	Rileva l'exploit di vulnerabilità del trasferimento MOVEit tramite l'indicatore hash di compromissione.

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Manomissione dell'account - Motivi di accesso non riuscito sospetti	Rileva i codici di errore non comuni all'accesso non riuscito per determinare l'attività sospetta e la manomissione degli account che sono stati disabilitati o in qualche modo limitati.
Blocco di generazione	BB:BehaviorDefinition: Scoperta dell'account cloud	Rileva i comandi di rilevamento account cloud.
Blocco di generazione	BB:BehaviorDefinition: Cloud Firewall Modificato o fermato	Rileva il firewall cloud, modificato o arrestato.
Blocco di generazione	BB:BehaviorDefinition: Creare processo con token	Rileva la creazione di token da PowerShell.
Blocco di generazione	BB:BehaviorDefinition: Scoperta dell'account e-mail da PowerShell	Rileva il rilevamento dell'account di posta elettronica da PowerShell.
Blocco di generazione	BB:BehaviorDefinition: Password non valida all'accesso	Rileva password non valida al login.
Blocco di generazione	BB:BehaviorDefinition: Password non valida durante Kerberos la pre-autenticazione	Rileva l'accesso con password non valida durante la pre - autenticazione di Kerberos .
Blocco di generazione	BB:BehaviorDefinition: Autorizzazione mailbox aggiunta	Rileva le autorizzazioni della casella di posta aggiunte
Blocco di generazione	BB:BehaviorDefinition: Potenziali compiti di accesso iniziale	Definisce le attività di accesso iniziali potenziali. Ciò include attività quali: rilevamento account, arresto del firewall o modifica delle autorizzazioni.
Blocco di generazione	BB:BehaviorDefinition: Impersonificazione di un tubo con nome di fantasia	Rileva un tentativo di escalation dei privilegi tramite impersonificazione named pipe non autorizzata.
Blocco di generazione	BB:BehaviorDefinition: Modifica sospetta dell'agente utente	Rileva una modifica sospetta dell'agent utente. Gli avversari possono comunicare utilizzando protocolli a livello di applicazione associati al traffico Web per evitare il rilevamento o il filtro di rete mescolandosi con il traffico esistente.
Blocco di generazione	BB:BehaviorDefinition: Connessioni SMTP in uscita sospette	Rileva potenziali esfiltrazioni sul protocollo SMTP.
Blocco di generazione	BB:BehaviorDefinition: Logon remoto sospetto con credenziali esplicite	Rileva i processi sospetti che accedano con credenziali esplicite.
Blocco di generazione	BB:BehaviorDefinition: L'utente è stato aggiunto agli amministratori locali	Rileva gli account utente che vengono aggiunti al gruppo Administrators locale, che potrebbe essere un'attività legittima o un segno di attività di escalation dei privilegi.
Blocco di generazione	BB:BehaviorDefinition: Agente utente modificato via Curl	Rileva l'agent utente modificato tramite curl.
Blocco di generazione	BB:BehaviorDefinition: Agente utente modificato tramite PowerShell	Rileva la modifica dell'agente utente tramite PowerShell.
Blocco di generazione	BB:BehaviorDefinition: Windows Firewall si è fermato	Rileva un firewall Windows arrestato.
Regola	Abuso token di accesso	Rileva l'impersonificazione e il furto di token. (Esempio: DuplicateToken(Ex) e ImpersonateLoggedOnUser con il flag LOGON23_LOGON_NEW_CREDENTIALS)
Regola	Connessione di rete in uscita Dllhost	Rileva le connessioni in uscita avviate da dllhost.exe.
Regola	Dump delle credenziali da Windows Credential Manager con PowerShell	Rileva gli avversari che cercano le ubicazioni di memorizzazione delle password comuni per ottenere credenziali utente.
Regola	Enumerare credenziali da Windows Credential Manager con PowerShell	Rileva gli avversari che cercano le ubicazioni di memorizzazione delle password comuni per ottenere credenziali utente.
Regola	Attività di registrazione della cronologia dei comandi rilevata	Rileva l'attività di registrazione della cronologia dei comandi.
Regola	Errori di accesso multipli dovuti alla password non corretta	Rileva l'aggressore che esegue l'irrorazione della password.
Regola	Errori di accesso multipli da account predefiniti	Rileva più errori di accesso dagli account predefiniti.
Regola	Tentativo di forzatura bruta possibile	Rileva l'avversario che esegue la forza bruta.
Regola	Potenziale esfiltrazione delle credenziali archiviate dai browser	Rileva l'esfiltrazione potenziale delle credenziali memorizzate nei browser.
Regola	Sppofing PPID rilevato	Rileva lo spoofing PPID sul sistema.
Regola	Regsvr32 Connessione di rete in uscita	Rileva le connessioni in uscita iniziate dal file regsvr32.exe.
Regola	RunDLL32 Connessione di rete in uscita	Rileva le connessioni in uscita iniziate dal file rundll32.exe.
Regola	Attività sospetta seguita da attività di accesso iniziale potenziale	Si attiva quando vengono eseguite potenziali attività di accesso iniziali, seguite da attività sospette. Le attività di accesso iniziali includono: rilevamento dell'account, disattivazione del firewall e altro ancora.
Regola	Credenziali archiviate da Windows	Rileva le credenziali memorizzate da Windows.
Regola	Inserimento cronologia SID	Rileva le attività di inserimento della cronologia SID (security identifier).
Regola	Accesso account validi sospetti	Si attiva quando viene rilevato un accesso sospetto da un account valido.
Regola	Impersonificazione token tramite PowerShell	Rileva gli avversari sfruttando le funzioni API di Windows relative all'impersonificazione o al furto di token.

Nome	Descrizione	Ottimizzato
Pacchetto autenticazione	Estrazione personalizzata predefinita del pacchetto di autenticazione dal payload DSM.	Sì
Nuovo valore attributo	Estrazione personalizzata predefinita del Nuovo valore attributo dal payload DSM.	N
Descrizione	Estrazione personalizzata predefinita di Descrizione dal payload DSM.	N
Avvio eseguito	Estrazione personalizzata predefinita di Iniziato dal payload DSM.	Sì
Livello di rappresentazione	Estrazione personalizzata predefinita del livello di rappresentazione dal payload DSM.	Sì
Processo di accesso	Estrazione personalizzata predefinita del processo di accesso dal payload DSM.	Sì
Nome server di destinazione	Estrazione personalizzata predefinita del nome server di destinazione dal payload DSM.	N

Tipo	Nome	Descrizione
Regola	Rilevamento di Turla Directory e nome file IOC negli eventi	Si attiva quando un IOC viene riconosciuto come una combinazione di directory Turla e nome file. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di IOC nome file Turla negli eventi	Si attiva quando un IOC viene riconosciuto come nome file relativo a Turla. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di Turla Hash IOC negli eventi	Si attiva quando un IOC viene riconosciuto come hash Turla. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di Turla IP IOC negli eventi	Si attiva quando un IOC viene riconosciuto come IP Turla noto. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di Turla Registry IOC in Events	Si attiva quando un IOC viene riconosciuto come valore di registro Turla. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di URL Turla Host IOC negli eventi	Si attiva quando un CIO viene riconosciuto come host URL noto di Turla. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.
Regola	Rilevamento di URL Turla IOC negli eventi	Si attiva quando un CIO viene riconosciuto come URL noto di Turla. Nota: le regole Malware as a Service Hash IOC in Events, Ransomware: Ryuk IOC in Events sono state escluse da questa regola per evitare la ripetizione, il loro scopo è quello di avere una risposta della regola dedicata.

Tipo	Nome	Descrizione
Regola	Microsoft Windows vulnerabilità RCE - modifica file	Rileva le vulnerabilità Remote Code Execution in Microsoft Exchange. Microsoft ha emesso "CVE-2022-41040" e "CVE-2022-41082" Exchange Server.
Regola	Microsoft Windows RCE - Download sospetto utilizzando Certutil	Rileva le vulnerabilità Remote Code Execution in Microsoft Exchange. Microsoft ha emesso "CVE-2022-41040" e "CVE-2022-41082" Exchange Server.
Regola	Microsoft Windows vulnerabilità RCE - file sospetti	Rileva le vulnerabilità Remote Code Execution in Microsoft Exchange. Microsoft ha emesso "CVE-2022-41040" e "CVE-2022-41082" Exchange Server.
Regola	Microsoft Windows vulnerabilità RCE - hash sospetti	Rileva gli hash Windows RCE SHA256 noti.
Regola	Microsoft Windows vulnerabilità RCE - IP sospetti	Questa regola rileva gli IP RCE Windows noti. Nota: ottimizzare in base alle origini log per ridurre il numero di eventi corrispondenti a questa regola.

Tabella 28. Ricerche salvate in IBM Security QRadar Endpoint
Nome	Descrizione
BadRabbit Evento "DestinationIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di destinazione BadRabbit noto.
BadRabbit Evento "FileHash" Ultime 24 ore	Visualizza gli eventi con un file hash BadRabbit noto.
BadRabbit Evento "Hostname" Ultime 24 ore	Visualizza gli eventi con un nome host BadRabbit noto.
BadRabbit Evento "SourceIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di origine BadRabbit noto.
BadRabbit Flussi "DestinationIP" Ultime 24 ore	Visualizza i flussi con un indirizzo IP di destinazione BadRabbit noto.
BadRabbit Flussi "SourceIP" Ultime 24 ore	Visualizza i flussi con un indirizzo IP di origine BadRabbit noto.
Traffico in uscita da UDP	Mostra i flussi in uscita che utilizzano l' UDP
Petya/NotPetya Evento "DestinationIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di destinazione noto Petya/NotPetya.
Petya/NotPetya Evento "File Hash" Ultime 24 ore	Visualizza gli eventi con un file hash noto Petya/NotPetya.
Petya/NotPetya Evento "SourceIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di origine noto Petya/NotPetya.
Petya/NotPetya Flussi "DestinationIP" Ultime 24 ore	Visualizza i flussi con un indirizzo IP di destinazione noto Petya/NotPetya.
Petya/NotPetya Flussi "SourceIP" Ultime 24 ore	Visualizza i flussi con un indirizzo IP di origine noto Petya/NotPetya.
Petya/NotPetya Flussi delle ultime 24 ore	Visualizza i flussi associati a Petya/NotPetya.
Ransomware potenziale (attività sospetta, Petya possibile, NotPetya)	Visualizza i flussi con payload sospetti associati a Ransomware.
Eventi WannaCry "Nome host destinazione" nelle ultime 24 ore	Visualizza gli eventi con un nome host di destinazione WannaCry noto.
WannaCry Eventi "DestinationIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di destinazione WannaCry noto.
WannaCry Eventi "Hash file" nelle ultime 24 ore	Visualizza gli eventi con un hash di file WannaCry noto.
WannaCry Eventi "Nome Host" Ultime 24 ore	Visualizza gli eventi con un nome host WannaCry noto
WannaCry Eventi "Nome host di origine" - Ultime 24 ore	Visualizza gli eventi con un nome host di origine WannaCry noto.
WannaCry Eventi "SourceIP" Ultime 24 ore	Visualizza gli eventi con un indirizzo IP di origine WannaCry noto.
Eventi WannaCryURL " delle ultime 24 ore	Visualizza gli eventi con un URL noto WannaCry.
WannaCry Flussi nelle ultime 24 ore	Visualizza i flussi associati a WannaCry.

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Processo critico creato	Rileva i nuovi processi critici creati. I processi critici si riferiscono a quelli che possono essere potenzialmente utilizzati in modo improprio dagli avversari per eseguire attività dannose. I processi comuni includono: PowerShell, cmd, mshta. Nota: la regola può essere regolata dal campo Process CommandLine . Alcune parole chiave comuni Process CommandLine che vengono visualizzate nel malware sono: findstr, tmp, temp, vbs, regsvr32, command, outfile, dlle http.
Blocco di generazione	BB:BehaviorDefinition: Processo critico creato dal file di collegamento (lnk)	Rileva i nuovi processi creati dai file di collegamento (lnk). I processi tipicamente utilizzati dagli avversari, come PowerShell, cmd, mshta dovrebbero essere monitorati.
Blocco di generazione	BB:BehaviorDefinition: Modifiche eccessive dei file	Rileva un numero eccessivo di modifiche file in un breve periodo di tempo.
Blocco di generazione	BB:BehaviorDefinition: Nuovo file creato nella directory temporanea	Rileva i nuovi file creati nelle directory temporanee. Alcune directory temporanee possono essere utilizzate dagli avversari per eliminare file dannosi. Nota: le directory monitorate sono. -- Windows -- AppData\Local\Temp AppData\Roaming\
Blocco di generazione	BB:BehaviorDefinition: Nuovo registro aggiunto a HKLM/HKCU (Windows)	Rileva la nuova chiave di registro impostata nelle directory HKLM o HKCU. Anche se questa attività è legittima, se ci sono potenziali comportamenti ransomware rilevati, questo potrebbe essere un metodo di persistenza.
Blocco di generazione	BB:BehaviorDefinition: File di collegamento (lnk) che esegue un processo critico (1)	Rileva i processi critici creati dai file di collegamento, in base alle regole QRadar . Nota: Gli eventi possono essere ricevuti nell'ordine sbagliato, vedere BB:BehaviorDefinition: Shortcut (lnk) File Executing a Critical Process (2) per l'ordine inverso.
Blocco di generazione	BB:BehaviorDefinition: File di collegamento (lnk) che esegue un processo critico (2)	Rileva i processi critici creati dai file di collegamento, in base alle regole QRadar . Nota: Gli eventi possono essere ricevuti nell'ordine sbagliato, vedere BB:BehaviorDefinition: File di collegamento (lnk) Esecuzione di un processo critico (1) per l'ordine inverso.
Regola	Comportamento potenziale di Mailto Ransomware (Windows)	Si attiva quando viene rilevato un potenziale comportamento ransomware mailto. Un ransomware mailto in genere esegue i seguenti passi (possono avere lievi modifiche in base alla variante): Modifiche del Registro di sistema per creare le chiavi (per la permanenza). Elimina la directory temporanea dell'eseguibile. Elimina le copie shadow. Codifica (modifica file).
Regola	Utilizzo potenziale di Windows tramite MSDT	Si attiva quando viene rilevato un potenziale utilizzo di vulnerabilità MSDT (Microsoft Support Diagnostic Tool). Microsoft ha emesso "CVE-2022-30190" per la vulnerabilità su MSDT. L'aggressore può eseguire l'esecuzione di codice remoto utilizzando MSDT per eseguire codice arbitrario.
Regola	Collegamento (lnk) Comandi di esecuzione file (Windows)	Si attiva quando un file di collegamento (lnk) ha creato processi che possono eseguire comandi. Diversi malware come Emotet utilizzano file di collegamento che quando aperti eseguono comandi dannosi.

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Comunicazione con un potenziale ospite ostile (set di riferimento)	Definisce la comunicazione con un host potenzialmente ostile, categorizzato per serie di riferimento. I set di riferimento che iniziano con i prefissi "XFE ATPF" sono gestiti automaticamente dall'app Threat Intelligence e richiedono un abbonamento a pagamento. Le altre serie di riferimento sono fornite dall'applicazione Threat Intelligence e possono essere utilizzate per includere feed Threat Intelligence di terze parti.
Blocco di generazione	BB:BehaviorDefinition: Comunicazione con un potenziale ospite ostile (categorizzazione X-force)	Si attiva quando viene rilevata la comunicazione con un potenziale host ostile. Categorizzato per X-force.
Blocco di generazione	BB:BehaviorDefinition: Comunicazione con un indirizzo IP potenzialmente ostile (set di riferimento)	Definisce la comunicazione con un potenziale IP ostile, categorizzato per serie di riferimento. I set di riferimento che iniziano con i prefissi "XFE ATPF" sono gestiti automaticamente dall'app Threat Intelligence e richiedono un abbonamento a pagamento. Le altre serie di riferimento sono fornite dall'applicazione Threat Intelligence e possono essere utilizzate per includere feed Threat Intelligence di terze parti.
Blocco di generazione	BB:BehaviorDefinition: Comunicazione con un indirizzo IP potenzialmente ostile (categorizzazione X-force)	Si attiva quando viene rilevata una comunicazione con un indirizzo IP potenzialmente ostile. Categorizzato per X-force.
Regola	BB:BehaviorDefinition: Modifica critica del file	Rileva eventuali modifiche, incluse la creazione o l'eliminazione, di file o directory critici.
Regola	File critico modificato seguito da attività sospetta	Si attiva quando un file o una directory critica viene modificata, seguita da attività sospette. Questo può essere indicativo di un aggressore che sta modificando i file e rilasciando i file eseguibili per ottenere accesso all'host.
Regola	Errori di accesso eccessivi tramite connessione RDP	Si attiva quando vengono rilevati più eventi di autenticazione non riusciti sulla stessa macchina in RDP da un singolo indirizzo IP di origine.

Nome	Ottimizzato	Trovato in
Livello di integrità	Sì	Microsoft Windows
ParentCommandLine	Sì	Microsoft Windows
ID processo	Sì	Microsoft Windows
Nome valore registro	Sì	Microsoft Windows
Firmato	Sì	Microsoft Windows

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Immagine caricata dalla directory del sistema Mock	Si attiva quando un eseguibile o DLL viene caricato da una directory mascherata come directory di sistema.
Blocco di generazione	BB:BehaviorDefinition: Attività endpoint sospette	Aggiunto Potenziale bypass UAC per elencare le attività sospette
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Dirottamento DLL (directory non di sistema)	Si attiva quando i file specifici vengono rilasciati in ubicazioni specifiche in cui possono essere caricati ed eseguiti senza UAC utilizzando gli eseguibili Windows originali.
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Dirottamento DLL (directory di sistema)	Si attiva quando un processo privilegiato carica una DLL non firmata dalla directory di sistema.
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Oggetto COM elevato	Si attiva quando le interfacce COM che possono aggirare l'UAC sono ospitate dal file dllhost.exe e generano un processo privilegiato.
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Installatore di componenti aggiuntivi di IE	Si attiva quando il programma di installazione del componente aggiuntivo Internet Explorer genera un processo privilegiato quando viene avviato da un'interfaccia COM.
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Finta directory di sistema (immagine)	Viene attivato quando un processo privilegiato carica un eseguibile o una DLL da una directory mascherata come directory di sistema.
Blocco di generazione	BB:BehaviorDefinition: Bypass UAC - Finta directory di sistema (processo)	Si attiva quando un processo privilegiato inizia da una directory mascherata come directory di sistema.
Blocco di generazione	BB:BehaviorDefinition: DLL non firmata caricata dalla directory del sistema	Si attiva quando una DLL non firmata viene caricata dalla directory di sistema.
Blocco di generazione	BB:CategoryDefinition: Processo elevato (Windows)	Identifica i processi elevati.
Blocco di generazione	BB:CategoryDefinition: Chiave di registro UAC Bypass	Identifica le chiavi di registro note per facilitare il bypass UAC.
Regola	Potenziale bypass UAC	Si attiva quando viene rilevato il comportamento associato all'ignorare il controllo account utente Windows.

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Accesso al desktop remoto da un host remoto	Identifica i flussi in cui si accede a un'applicazione desktop remota da un host remoto
Blocco di generazione	BB:BehaviorDefinition: Quota amministrativa accessibile	Si attiva quando si accede ad una condivisione amministrativa.
Blocco di generazione	BB:BehaviorDefinition: Traffico in entrata Cobalt Strike	Identifica i flussi che mostrano un host che invia posta agli host remoti.
Blocco di generazione	BB:BehaviorDefinition: Traffico in entrata Cobalt Strike	Si attiva quando viene rilevata un'impronta digitale " TLS ", riconosciuta come proveniente da un server Cobalt Strike.
Blocco di generazione	BB:BehaviorDefinition: Traffico in uscita Cobalt Strike	Si attiva quando viene rilevata un'impronta digitale " TLS ", riconosciuta come comunicazione proveniente da un client Cobalt Strike.
Blocco di generazione	BB:BehaviorDefinition: Traffico potenziale di colpi di cobalto	Si attiva quando viene rilevata un'impronta digitale " TLS " nota per essere correlata a Cobalt Strike. Cobalt Strike è uno strumento di penetration - test comunemente usato dai team rossi. Tuttavia, gli attori malintenzionati spesso utilizzano versioni ottenute illegalmente di questa applicazione per utilizzare i propri attacchi. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Blocco di generazione	BB:BehaviorDefinition: Ambiente di programmazione avviato con un account privilegiato	Si attiva quando un ambiente di programmazione è stato avviato con un account privilegiato.
Blocco di generazione	BB:BehaviorDefinition: Amministrazione regolare dell'endpoint	Definisce l'attività di gestione regolare, ad esempio la gestione utente, il download del file nella riga comandi o l'esecuzione con privilegi elevati.
Blocco di generazione	BB:BehaviorDefinition: Attività endpoint sospette	Definisce le attività dell'endpoint sospette.
Blocco di generazione	BB:BehaviorDefinition: Attività VNC da un host remoto	Identifica i flussi a cui si accede a un servizio VNC da un host remoto.
Regola	Rilevato comportamento di sciopero del cobalto	Si attiva quando viene rilevato un comportamento potenzialmente appartenente a Cobalt Strike. Cobalt Strike è uno strumento di penetration - test comunemente usato dai team rossi. Tuttavia, gli attori malintenzionati spesso utilizzano versioni ottenute illegalmente di questa applicazione per utilizzare i propri attacchi.
Regola	Comunicazione con un host potenzialmente ostile	Si attiva quando viene rilevata la comunicazione con un host potenzialmente ostile, categorizzato da X-force o nella raccolta della serie di riferimento.
Regola	Utilizzo non nocivo del comando codificato in un ambiente di programmazione	Si attiva quando un comando codificato viene utilizzato in un ambiente di programmazione del tipo cmd o PowerShell.
Regola	Malware: traffico Dridex potenziale	Si attiva quando viene rilevata una firma “ TLS ” nota per essere associata al trojan Dridex. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Malware: potenziale traffico emottetto	Si attiva quando viene osservata un'impronta digitale di JA3 nota per essere correlata al trojan Emotet. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Malware: Traffico potenziale dell'Impero	Si attiva quando viene rilevata una firma digitale di TLS nota per essere collegata al downloader Empire. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Malware: traffico Trickbot potenziale	Si attiva quando viene rilevata un'impronta digitale di TLS nota per essere collegata al trojan Trickbot. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Traffico potenziale metasploit	Si attiva quando viene rilevata un'impronta digitale di TLS nota per essere correlata a Metasploit. Metasploit è uno strumento di penetration - test comunemente usato dai team rossi. Tuttavia, gli attori malintenzionati spesso lo useranno nei loro attacchi. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Traffico Tor potenziale	Si attiva quando viene rilevata un'impronta digitale TLS nota per essere collegata al progetto Tor. Tor è un servizio di anonimizzazione non dannoso che può essere utilizzato per ignorare le politiche e condurre attività dannose. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Ransomware: Traffico potenziale di Ryuk	Si attiva quando viene rilevata una firma " TLS " nota per essere associata al ransomware Ryuk. La regola sta cercando di mettere in corrispondenza le impronte digitali sia del client che del server per ridurre il rischio di falsi positivi.
Regola	Remoto: accesso desktop remoto da Internet	Viene attivato quando Microsoft Remote Desktop Protocol viene rilevato da Internet a un host locale. La maggior parte delle aziende considera questa una violazione della politica aziendale. Se questo è l'attività normale sulla rete, è necessario disabilitare questa regola.
Regola	Remoto: accesso VNC da Internet	Si attiva quando VNC (un'applicazione di accesso desktop remoto) viene rilevata da Internet su un host locale. Molte società ritengono questo un problema relativo alle politiche che deve essere affrontato. Se questa è la normale attività sulla rete utilizzata, disabilitare questa regola.
Regola	Servizio configurato per utilizzare PowerShell	Si attiva quando un servizio è configurato per utilizzare PowerShell.
Regola	Elemento principale sospetto per un processo	Si attiva quando un servizio è configurato per utilizzare PowerShell.
Regola	Utilizzo del modulo PSExec sospetto rilevato	Si attiva quando viene rilevato un uso del modulo PSExec.

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Malware come servizio Percorso IOC	Si attiva quando viene osservato un indicatore di percorso file di compromissione (IoC) relativo a Malware as a Service (MaaS), come Trojan Emotet e Trojan Trickbot. Gli IOC seguiranno il modello nelle directory personalizzate: %APPDATA%\roaming\winapp\client_id %APPDATA%\roaming\winapp\group_tag %APPDATA%\system32\Tasks\services update %APPDATA%\system32\Tasks\MsSysToken HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE C:\WINDOWS\SYSWOW64\RandomNumber.EXE C:\WINDOWS\SYSWOW64\RandomNumber.EXE C:\WINDOWS\TEMP\RandomNumber.TMP La serie di riferimento Malware as a Service_Path è prepopolata. Regolare questa serie di riferimento con IOC pertinente.
Regola	Inserimento del codice di memoria potenziale	Si attiva quando Cobalt strike beacon genera un processo Windows. Cobalt strike beacon genera un file binario nativo di Windows e manipola il suo spazio di memoria determinando che i processi generati non hanno argomenti della linea di comando. specificato.
Regola	Servizio configurato per utilizzare un pipe	Si attiva quando un servizio è configurato per utilizzare una pipe. Ciò potrebbe indicare un aggressore che ottiene l'accesso a un sistema di utenti tramite l'escalation dei privilegi utilizzando getsystem.

Nome	Ottimizzato	Trovato in
Nome processo	Sì	Risposta del nerofumo Endpoint FireEye MPS Linux Microsoft Windows ObserveIT osquery
Processo terminato	Sì	Microsoft Windows

Nome	Descrizione
Malware come Service_MD5	Elenca gli hash dei file MD5 che sono indicatori per i malware come servizio.
Malware come Service_Path	Elenca i percorsi file che sono indicatori per i malware come un servizio.
Malware come Service_SHA1	Elenca gli hash dei file SHA1 che sono indicatori per i malware come servizio.
Malware come Service_SHA256	Elenca gli hash file SHA256 che sono indicatori per i malware come un servizio.
Pulse_importazioni	Dashboard Pulse.
Elenco di terminazione del processo e del servizio Ryuk	Elenca i possibili processi o servizi terminati da Ryuk ransomware.
Ryuk_MD5	Elenca gli hash dei file MD5 che sono indicatori per Ryuk ransomware.
Ryuk_SHA1	Elenca gli hash di file SHA1 che sono indicatori per Ryuk ransomware.
Ryuk_SHA256	Elenca gli hash dei file SHA256 che sono indicatori per Ryuk ransomware.

Fase	Regole
Distribuzione	Malware as a Service Hash IOC in Eventi Malware as a Service Hash IOC nei flussi
Gestione temporanea	Tentativo di eliminare copie shadow File importante cancellato ( Unix ) Strumento di dirottamento RDP rilevato Ripristino disabilitato nei dati della configurazione di avvio Ransomware: Servizio Ryuk o risoluzione del processo
Infezione	Rilevamento di file o processi dannosi Rilevamento di IOC dannoso Decodifica file o download seguito da attività sospette Ransomware: BadRabbit IOC negli eventi Ransomware: IOC BadRabbit in Flows Ransomware: Maze IOC negli eventi Ransomware: Petya / NotPetya CIO negli eventi Ransomware: Petya / NotPetya IOC nei flussi Ransomware: REvil IOC negli eventi Ransomware: WCry IOC negli eventi Ransomware: WCry IOC nei flussi Ransomware: WCry Payload nei flussi IOCs ransomware rilevati su più macchine Ransomware: Ryuk IOC negli eventi Ransomware: Ryuk IOC nei flussi Estensione file crittografato ransomware
Ricognizione	Rilevato comportamento di sciopero cobalto Accesso non riuscito eccessivo a una condivisione amministrativa dalla stessa origine Utilizzo eccessivo di Nslookup Strumento di ricognizione rilevato
Crittografia	Eliminazione e creazione di file eccessivi Estensione file crittografato ransomware Ransomware: Labirinto Trasferimento di file sospetto Quantità sospetta di file eliminati sulla stessa macchina Quantità sospetta di file rinominati sulla stessa macchina (Windows) Numero sospetto di file rinominati/spostati sullo stesso computer ( Unix )
Notifica di riscatto	Istruzioni di decodifica ransomware create

Nome	Ottimizzato	Trovato in
Tipo di accesso	Sì	Microsoft Windows
Condividi nome	Sì	Microsoft Windows
StartAddress	Sì	Microsoft Windows

Endpoint

Endpoint IBM Security QRadar

IBM Sicurezza QRadar Endpoint 3.1.1

IBM Sicurezza QRadar Endpoint 3.1.0

IBM Sicurezza QRadar Endpoint 3.0.0

IBM Sicurezza QRadar Endpoint 2.9.0

IBM Sicurezza QRadar Endpoint 2.8.3

IBM Sicurezza QRadar Endpoint 2.8.2

IBM Sicurezza QRadar Endpoint 2.8.1

IBM Sicurezza QRadar Endpoint 2.8.0

IBM Sicurezza QRadar Endpoint 2.7.2

IBM Sicurezza QRadar Endpoint 2.7.1

IBM Sicurezza QRadar Endpoint 2.7.0

Endpoint IBM Security QRadar 2.6.0

IBM Sicurezza QRadar Endpoint 2.5.0

IBM Sicurezza QRadar Endpoint 2.4.0

IBM Sicurezza QRadar Endpoint 2.3.0

IBM Sicurezza QRadar Endpoint 2.2.0

IBM Sicurezza QRadar Endpoint 2.1.1

IBM Sicurezza QRadar Endpoint 2.1.0

EndpointIBM Security QRadar 2.0.0

Endpoint IBM Security QRadar 1.0.0

Tipo	Nome	Descrizione
Serie di riferimento	BadRabbit_FileHash	Elenca gli hash file associati al ransomware BadRabbit .
Serie di riferimento	BadRabbit_FileName	Elenca i nomi file associati al ransomware BadRabbit .
Serie di riferimento	BadRabbit_Hostname	Elenca i nomi host associati al ransomware BadRabbit .
Serie di riferimento	BadRabbit_IP	Elenca indirizzi IP associati al ransomware BadRabbit .
Serie di riferimento	Nome_file_Petya_	Elenca i nomi dei file associati al ransomware Petya/NotPetya.
Serie di riferimento	Petya_FileHash	Elenca gli hash dei file associati al ransomware Petya/NotPetya.
Serie di riferimento	Petya_HostName	Elenca i nomi di host associati al ransomware Petya/NotPetya.
Serie di riferimento	IP Petit	Elenca gli indirizzi IP associati al ransomware Petya/NotPetya.
Serie di riferimento	WCry_FileHash	Elenca gli hash dei file associati al ransomware WannaCry .
Serie di riferimento	WCry_FileName	Elenca i nomi file associati al ransomware WannaCry .
Serie di riferimento	WCry_HostName	Elenca i nomi host associati al ransomware WannaCry .
Serie di riferimento	IP crittografico	Elenca gli indirizzi IP associati al ransomware WannaCry .

Nome	Ottimizzato	Trovato in
Applicazione	Sì	Linux
Architettura	Sì	Linux
ID controllo	Sì	Linux
Tipo di chiamata	Sì	Linux
Argomenti del comando	Sì	Linux
Directory file codificato	Sì	Linux
Nome file codificato	Sì	Linux
Directory file	Sì	Cisco AMP Cisco Firepower Linux Microsoft Office 365 Microsoft Windows osquery Microsoft 365 Difensore
Estensione file	Sì	Amazon AWS Blue Coat Cisco AMP Cisco IronPort McAfee EPO Microsoft Office 365 Microsoft Windows osquery Postfix Squid Microsoft 365 Difensore
Autorizzazioni file	Sì	Linux osquery
Nome file	Sì	Amazon AWS Azure Bit9 Piattaforma di sicurezza Blue Coat Protezione dal nerofumo Cisco AMP Cisco Firepower Cisco IronPort Endpoint FireEye MPS Fortinet FortiAnalyzer Linux McAfee EPO Microsoft Office 365 Microsoft Windows osquery Palo Alto PA Series Postfix Squid Sysmon VMware Microsoft 365 Difensore
Nome gruppo	Sì	Linux Microsoft Windows
ID macchina	Sì	Linux Microsoft Windows
Hash MD5	N	Cisco AMP Microsoft 365 Difensore Microsoft Windows
Nome processo parent	Sì	osquery Microsoft Windows
Riga comandi processo	Sì	Risposta del nerofumo Kubernetes Microsoft Windows osquery Sysmon
Nome processo	Sì	Risposta del nerofumo Endpoint FireEye MPS Linux Microsoft Windows ObserveIT osquery
Percorso del processo	Sì	Risposta del nerofumo Microsoft Windows
Numero di record	N	Linux
Chiave di registro	Sì	Microsoft Windows
Dati valore di registro	Sì	Microsoft Windows
Nome regola	Sì	Microsoft Windows
Hash SHA256	Sì	Cisco AMP Microsoft 365 Difensore osquery Sysmon
Nome utente di destinazione	Sì	Amazon AWS Azure Kubernetes Microsoft Office 365 Microsoft Windows osquery VMware
Tipo di elevazione token	Sì	Microsoft Windows
UrlHost	Sì	Blue Coat Cisco IronPort IBM App Cloud Discovery per l' QRadar McAfee EPO Squid Microsoft 365 Difensore
ID utente	Sì	Azure Linux osquery

Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Aggiunti privilegi di amministratore ( Unix )	Rileva i privilegi di amministratore aggiunti agli utenti standard. Un avversario può aumentare i suoi privilegi per ulteriori attacchi.
Blocco di generazione	BB:BehaviorDefinition: Aggiunti privilegi di amministratore (Windows)	Rileva i privilegi di amministratore aggiunti agli utenti standard. Un avversario può aumentare i suoi privilegi per ulteriori attacchi.
Blocco di generazione	BB:BehaviorDefinition: Privilegi di amministratore rimossi (Windows)	Rileva l'autorizzazione rimossa da un gruppo di superutenti. Un aggressore può rimuovere i privilegi elevati per impedire le azioni di mitigazione da parte degli amministratori.
Blocco di generazione	BB:BehaviorDefinition: Dirottamento del modello a oggetti dei componenti	Rileva le attività di dirottamento COM (Component Object Model). Monitora i dettagli del registro che possono essere modificati per caricare un processo differente. Ad esempio, il prompt dei comandi è stato modificato per eseguire un file .exe dannoso, seguito da un processo di creazione.
Blocco di generazione	BB:BehaviorDefinition: Regole di dirottamento del modello a oggetti del componente	Rileva l'attività di dirottamento COM (Component Object Model) monitorando le modifiche del registro sul gestore Windows Tooltip, le chiavi che contengono l'applicazione per stabilire la conversazione DDE (Dynamic Data Exchange) e le chiavi che contengono il percorso di una DLL (Dynamic Link Library).
Blocco di generazione	BB:BehaviorDefinition: Informazioni sul processo dello strumento di sicurezza critico	Rileva quando un messaggio di verifica registra le informazioni relative a uno strumento di sicurezza critico come risposta al PID di destinazione di un altro segnale.
Blocco di generazione	BB:BehaviorDefinition: Scaricare le utilità in Eventi	Rileva quando un programma di utilità di download viene utilizzato su un endpoint, come ftp, sftp, curl, cuteftp, wget, certutil, bits o nc.
Blocco di generazione	BB:BehaviorDefinition: Scoperta di gruppi o account	Corrisponde quando viene eseguita un'azione di rilevamento di un gruppo o di un account.
Blocco di generazione	BB:BehaviorDefinition: File o cartella nascosti creati	Si attiva quando viene creato un file o una cartella nascosti. Un file o una cartella nascosti possono assumere tre forme: Inizia con un punto Inizia con un punto e contiene uno spazio Autorizzazioni basate (ad esempio -rwx ------)
Blocco di generazione	BB:BehaviorDefinition: Individuazione delle politiche relative alle password ( Unix )	Rileva quando viene eseguita un'azione di rilevamento della politica password. Per impostazione predefinita, questo blocco di generazione controlla i file seguenti: /etc/login.defs /etc/pam.d/common-password /etc/pam.d/system-auth /etc/security/pwquality.conf
Blocco di generazione	BB:BehaviorDefinition: Rilevamento criteri password (Windows)	Rileva quando viene eseguita un'azione di rilevamento della politica password.
Blocco di generazione	BB:BehaviorDefinition: PowerShell Attività di download di file	Rileva quando PowerShell viene usato per scaricare i file.
Blocco di generazione	BB:BehaviorDefinition: Processo ucciso	Viene attivato quando un processo Linux viene interrotto utilizzando la chiamata di sistema kill .
Blocco di generazione	BB:BehaviorDefinition: Amministrazione regolare dell'endpoint	Definisce l'attività di amministrazione regolare come la gestione utente, il download del file nella riga comandi, l'esecuzione con privilegi elevati.
Blocco di generazione	BB:BehaviorDefinition: Esegui come superutente o come un altro utente ( Unix )	Rileva i programmi eseguiti come root o un altro utente.
Blocco di generazione	BB:BehaviorDefinition: Eseguire come superutente o altro utente (Windows)	Rileva i programmi eseguiti come amministratore o da un altro utente.
Blocco di generazione	BB:BehaviorDefinition: Attività endpoint sospette	Definisce le attività dell'endpoint sospette.
Blocco di generazione	BB:BehaviorDefinition: Account utente aggiunto ( Unix )	Rileva quando viene creato un account utente.
Blocco di generazione	BB:BehaviorDefinition: Account utente aggiunto (Windows)	Rileva quando viene creato un account utente o gruppo.
Blocco di generazione	BB:BehaviorDefinition: Account utente eliminato ( Unix )	Rileva quando un account utente viene eliminato.
Blocco di generazione	BB:BehaviorDefinition: Account utente cancellato (Windows)	Rileva quando un account utente o gruppo viene eliminato.
Blocco di generazione	BB:CategoryDefinition: Decodifica dei file da parte di un'utilità	Rileva quando un programma di utilità viene utilizzato per decodificare i file.
Blocco di generazione	BB:CategoryDefinition: Autorizzazione file modificata	Rileva quando è stato eseguito un comando per modificare le autorizzazioni assegnate a un file.
Blocco di generazione	BB:CategoryDefinition:File con permessi sensibili	Definisce i file per cui non è necessario modificare le autorizzazioni. Ciò potrebbe rivelare il comportamento di un aggressore che tenta di impedire il normale funzionamento. Per impostazione predefinita, questo blocco di generazione controlla i file seguenti: /boot/ /etc/pam.d/ /etc/shadow /etc/passwd /etc/rsyslog/ /etc/openldap/ /etc/sysconfig/syslog /etc/syslog.conf /etc/sysconfig/network-scripts/ /etc/default/ufw /etc/sudoers
Blocco di generazione	BB:DeviceDefinition: Sistema operativo	Definisce tutti i sistemi operativi sul sistema.
Regola	Comunicazione con un host potenzialmente ostile	Rileva la comunicazione con un host potenzialmente ostile, categorizzato da X-force o nella raccolta della serie di riferimento.
Regola	Comunicazione con un indirizzo IP potenzialmente ostile	Rileva la comunicazione con un indirizzo IP potenzialmente ostile, categorizzato da X-force o nella raccolta della serie di riferimento.
Regola	Attività di dump delle credenziali rilevate	Si attiva quando le attività di dump delle credenziali vengono rilevate nel registro di Windows. Gli aggressori possono interrogare il registro alla ricerca di credenziali e password che sono state memorizzate per l'uso da parte di altri programmi o servizi e sfruttare tali credenziali. Le attività di dump delle credenziali includono, ma non sono limitate a: Scansione del registro per le password che possono essere utilizzate dal sistema o da altri programmi Dump hash mediante SAM (Security Accounts Manager) modifica del registro WDigest per consentire la memorizzazione delle password in testo semplice. Le condizioni di filtro AQL riportate di seguito indicano tre metodi di dump delle credenziali implementati in questa regola. Ogni metodo può essere implementato separatamente utilizzando questi filtri AQL per scopi di ottimizzazione. Un avversario può cercare negli hives del registro di sistema analizzando i valori delle password: quando l'evento corrisponde a LOWER("Process CommandLine") MATCHES 'reg\s+query.password.' Query filtro AQL. Gli alveari del registro possono essere scaricati ed esfiltrati da un avversario per scopi dannosi. Si tratta di un'indicazione del dumping delle credenziali tramite Security Accounts Manager (SAM): quando l'evento corrisponde a LOWER("Process CommandLine") corrisponde alla query di filtro AQL 'reg.save.(sam\|system\|security)'. Questa modifica della chiave di registro forza wdigest a memorizzare le credenziali in testo semplice la volta successiva che qualcuno accede a questo sistema: quando l'evento corrisponde a LOWER (" Process CommandLine) MATCHES 'reg\s + (add\|query). * uselogoncredential. ' Query filtro AQL quando l'evento corrisponde a LOWER ("Chiave di registro") MATCHES '\\system \\ (controlset001\|controlset002\|currentcontrolset). wdigest ' Query filtro AQL.
Regola	Modifica dei permessi di un file critico ( Unix )	Si attiva quando l'autorizzazione di file o directory critici viene modificata. Un aggressore può modificare le autorizzazioni di un file sensibile in modo da diventare l'unico utente in grado di accedervi e procedere al defacement, alla distruzione dei dati o alla disabilitazione degli strumenti di protezione. Nota: Modificare il blocco BB:CategoryDefinition: Files with Sensitive Permissions con i file o le directory da monitorare. Queste ubicazioni devono essere correlate all'avvio, al backup, alla registrazione o alle credenziali, che hanno una severità più elevata quando vengono utilizzate.
Regola	Strumento fondamentale per la sicurezza disattivato ( Unix )	Rileva quando è stato interrotto un processo di sicurezza critico. Un aggressore può disabilitare gli strumenti di sicurezza per evitare il rilevamento. Nota: i blocchi di creazione inclusi in questa regola utilizzano la serie di riferimento Processi strumento di sicurezza critici . La serie di riferimento Processi strumento di sicurezza critici è stata precompilata con i nomi dei processi dello strumento di sicurezza comuni. Ottimizzare la serie di riferimento con qualsiasi strumento utilizzato dall'organizzazione.
Regola	Strumento di sicurezza critico arrestato	Si attiva quando l'autorizzazione di file o directory critici viene modificata. Un aggressore può modificare le autorizzazioni di un file sensibile in modo da diventare l'unico utente in grado di accedervi e procedere al defacement, alla distruzione dei dati o alla disabilitazione degli strumenti di protezione. Nota: la serie di riferimento Processi critici dello strumento di sicurezza è stata precompilata con i nomi comuni del processo dello strumento di sicurezza. Ottimizzare la serie di riferimento con qualsiasi strumento utilizzato dall'organizzazione.
Regola	Rilevamento di IOC dannoso	Rileva quando un IOC è classificato come nocivo in una raccolta di serie di riferimento.
Regola	File creato con sostituzione da destra a sinistra	Viene attivato quando il carattere Sostituzione da destra a sinistra (U+202E) viene trovato nel nome di un file creato. In alcuni sistemi operativi, l'interfaccia grafica elaborerà questo carattere - invertendo l'ordine di visualizzazione delle parti del nome file.
Regola	File creato con spazio dopo il nome file	Si attiva quando l'ultimo carattere di un nome file è uno spazio. Questo forzerà il sistema operativo per determinare il tipo di file ed eseguirlo di conseguenza, anche se sembra esserci un'estensione file valida. Ad esempio, uno script della shell denominato info.txt viene aperto come file di testo, mentre info.txt (notare lo spazio dopo il nome) viene aperto con qualsiasi programma predefinito che gestisce gli script della shell.
Regola	Decodifica file o download seguito da attività sospette	Viene attivato quando vengono utilizzati programmi di utilità come certutil per decodificare un file. Ciò potrebbe indicare un utente malintenzionato che scarica un file codificato e decodifica il file per eludere la sicurezza.
Regola	Dirottamento COM (Component Object Model) potenziale	Rileva le attività di dirottamento COM (Component Object Model) potenziali. Un aggressore può eseguire codice doloso dirottando i riferimenti COM legittimi.
Regola	Potenziale dirottamento DLL	Si attiva quando un file DLL (dynamic - link library) viene creato o scaricato e caricato da un'applicazione. Ciò può indicare un dirottamento dell'ordine di ricerca DLL. Nota: escludi i processi da monitorare per ridurre i falsi positivi.
Regola	Applicazione potenzialmente dannosa Shimming	Rileva l'attività di shimming dell'applicazione monitorando le modifiche del Registro di sistema. Gli aggressori possono utilizzare le funzionalità di retrocompatibilità per eseguire l'escalation dei privilegi, installare backdoor, ecc. I database personalizzati si trovano nelle seguenti ubicazioni: %WINDIR%\AppPatch\Custom %WINDIR%\AppPatch\CustomSDB %WINDIR%\AppPatch\AppPatch64\Custom Nota: la serie di riferimento Shims Allowlist è popolata con shims predefiniti installati dal programma di installazione di Windows predefinito. Ottimizza questa serie di riferimento con qualsiasi Shim personalizzato.
Regola	Mascheramento dei processi ( Unix )	Si attiva quando un processo è in esecuzione da una directory da cui non dovrebbe essere eseguito. Un aggressore può mascherare un processo legittimo per evitare il rilevamento, quindi eseguire comandi dolosi dal processo non legittimo. Nota: ottimizzare questa regola per includere o escludere qualsiasi directory.
Regola	Mascheramento del processo (Windows)	Si attiva quando un processo sensibile viene eseguito da una directory non legittima. Un aggressore può mascherare un processo legittimo per evitare il rilevamento, quindi eseguire comandi dolosi dal processo non legittimo. Nota la serie di riferimento Nomi processo sensibili è popolata con processi sensibili noti. Ottimizzare questa serie di riferimento con i processi da controllare. La serie di mappe di riferimento Nome processo predefinito e directory di processo è stata prepopolata con nomi processo e directory sensibili. Ottimizzare questi dati di riferimento con l'ubicazione predefinita dei processi sensibili.
Regola	Ambiente di programmazione generato da un processo sospetto	Si attiva quando un ambiente di programmazione viene generato da un processo sospetto. Ciò potrebbe indicare un aggressore che tenta di eseguire uno script doloso.
Regola	Il processo bloccato consigliato è in esecuzione	Rileva un processo di blocco consigliato in esecuzione sul sistema. Microsoft Windows elenca le regole di blocco consigliate per disabilitare le applicazioni potenzialmente sfruttabili da un utente malintenzionato e per bypassare il Controllo applicazioni di Windows Defender. Nota: la serie di riferimento Processi bloccati consigliati è precompilata con le applicazioni Microsoft comunemente utilizzate. Ottimizzare la serie di riferimento con qualsiasi processo endpoint per soddisfare le esigenze aziendali.
Regola	Attività sospetta seguita dall'attività di gestione endpoint	Rileva che le normali attività di amministrazione (scaricare un file, aggiornare i diritti utente, eseguire come un altro utente, ecc.) vengono eseguite dopo che un'attività sospetta viene rilevata sulla stessa macchina.
Regola	Creazione account utente seguita dall'eliminazione account	Si attiva quando un utente viene creato ed eliminato in un breve periodo di tempo. Ciò potrebbe indicare un aggressore o un malware che tenta di nascondere o eludere il rilevamento utilizzando diversi account utente o per rilasciare una bomba sul sistema.

Tipo	Nome	Descrizione
Mappa di riferimento delle serie	Nome processo e directory di processo predefiniti	Questa mappa di riferimento delle serie elenca i processi sensibili e le relative directory.
Dati di riferimento	importazioni pulse_import	Parte del dashboard Pulse.
Serie di riferimento	IP anonimizzatore	Elenca gli indirizzi IP anonimizzati identificati.
Serie di riferimento	C & C IP botnet	Elenca il comando botnet identificato e gli indirizzi IP del server di controllo.
Serie di riferimento	IP botnet	Elenca gli indirizzi IP botnet identificati.
Serie di riferimento	Processi strumento di sicurezza critici	Elenca gli strumenti di sicurezza critici.
Serie di riferimento	URL dannosi	Elenca gli URL dannosi identificati.
Serie di riferimento	Hash malware MD5	Elenca gli hash di malware md5 identificati.
Serie di riferimento	Hash SHA malware	Elenca gli hash malware sha256 identificati.
Serie di riferimento	IP malware	Elenca indirizzi IP malware identificati.
Serie di riferimento	URL malware	Elenca gli URL malware identificati.
Serie di riferimento	IP phishing	Elenca gli indirizzi IP di phishing identificati.
Serie di riferimento	URL di phishing	Elenca gli URL di phishing identificati.
Serie di riferimento	Processi bloccati consigliati	Elenca i processi che si consiglia di bloccare.
Serie di riferimento	Nomi processo sensibili	Elenca i processi sensibili.
Serie di riferimento	Elenco consentiti Shims	Elenca il registro di shimming delle applicazioni.