端点

使用 IBM 安全 QRadar 端点内容扩展密切监控部署中的 Linux® 和 Windows 端点。

重要信息: 为了避免此内容扩展中的内容错误，请使关联的 DSM 保持最新。 DSM 作为自动更新的一部分进行更新。 如果未启用自动更新，请从 IBM® Fix Central (https://www.ibm.com/support/fixcentral) 下载最新版本的相关 DSM。

端点内容扩展包括一个或多个 QRadar Pulse 仪表板。 有关 QRadar Pulse 仪表盘的更多信息，请参阅 QRadar Pulse 应用程序。

配置要监控的 Linux 和 Windows 端点，以便与此内容扩展一起使用。

IBM Security QRadar 端点

IBM 安全 QRadar 端点 3.1.0

下表显示了 IBM Security QRadar Endpoint Content Extension 3.1.0 中的新规则和更新规则以及构建模块。

表 1. IBM Security QRadar Endpoint Content Extension 中的规则 3.1.0
类型 名称 描述
规则 PowerShell Base64 调用表达式可疑命令 根据事件 ID 4688 或 4104 或 1 检测 PS Base64 命令（如 IEX、invoke-expression 和 Invoke-Expression）的规则。
规则 PowerShell 调用表达式可疑命令 根据事件 ID 4688、4104 和 1 检测 PowerShell 可疑明文 Invoke Expression 命令的规则
规则 从 AppData 文件夹调用的可执行文件 AppData 目录默认是隐藏的，用户一般不会修改该目录的内容。 必须对从应用程序数据目录运行的可执行应用程序进行分流，因为恶意行为者经常使用这种行为。
规则 从 C:Users\Public 运行的可执行文件 必须对从 C:Users\Public 位置运行的可执行文件进行分流，因为恶意行为者经常使用这种行为。
规则 PowerShell 编码命令 恶意行为者通常会对命令进行编码，以混淆其活动。
规则 PowerShell 执行政策旁路 执行策略绕过是一种常用于绕过 PowerShell 执行策略的技术，由于恶意行为者经常使用这种行为，因此应予以分流。
规则 PowerShell Base64 字符串 Base 64 是一种编码方案，经常被恶意行为者用来混淆其活动。

(返回页首）

IBM 安全 QRadar 端点 3.0.0

下表显示了 IBM Security QRadar Endpoint Content Extension 3.0.0 中的新规则和更新规则以及构建模块。

表 2. IBM Security QRadar Endpoint Content Extension 中的规则 3.0.0
类型 名称 描述
规则 通过 WScript 调用的潜在恶意 Javascript 文件 该规则旨在检测使用 Wscript 执行 JavaScript 文件的情况。 SocGholish, Gootloader 等多个恶意程序都会使用这种已知的策略。
规则 通过 CScript 调用的潜在恶意 Javascript 文件 该规则旨在检测使用 Cscript 执行 JavaScript 文件的情况。 SocGholish, Gootloader 等多个恶意程序都会使用这种已知的策略。
规则 潜在的 Sharepoint ToolShell CVE-2025-53770 漏洞利用 该功能旨在检测 WebShell 的创建情况，已知该 可用于利用 Sharepoint ToolShell CVE-2025-53770 漏洞。
规则 潜在的 Sharepoint ToolShell CVE-2025-53770 漏洞利用 - 文件路径 其目的是检测从已知文件路径运行的特定文件类型，该文件路径用于利用 Sharepoint ToolShell CVE-2025-53770 漏洞。 这可能是入侵的迹象，也可能是针对该漏洞的内部测试，需要进一步调查。

(返回页首）

IBM 安全性 QRadar 端点 2.9.0

下表显示了 IBM 安全 QRadar 端点内容扩展 2.9.0 中的新规则和更新规则以及构建模块。

表 3. IBM 安全 QRadar 端点内容扩展 2.9.0 中的规则
类型 名称 描述
规则 PowerShell 降级攻击 当对手可能将 PowerShell 还原到引擎版本 4 或更早时，该规则就会触发。
规则 可疑文件夹中启动的可执行文件 当在一个不常用的文件夹中检测到可疑执行时，就会触发该规则。
规则 MavInject 进程注入 检测到使用 MavInject Windows 工具通过进程名称或命令行参数注入进程时，将触发此规则。
规则 鲁伯斯黑客工具执行 当检测到黑客工具 Rubeus 通过进程名称或命令行参数执行时，就会触发该规则。
规则 恶意命名管道 当检测到创建或连接到已知恶意软件使用的命名管道时，就会触发该规则。
规则 Ping Hex IP 检测到 ping 命令以十六进制形式运行 IP 地址时，将触发此规则。
规则 指向可疑文件夹的新 RUN 键 当注册表中创建了指向可疑文件夹的 Windows 资源管理器运行键时，该规则就会触发。
规则 向 Active Directory 对象添加 SID 历史记录 当 SID 历史记录属性被添加到 Active Directory 对象时，该规则会触发。
规则 潜在的 LSASS.exe 凭证转储活动 检测到 LSASS.exe 文件的 SAM_DOMAIN 访问时触发此规则，表明存在凭证转储等活动。
规则 恶意 PowerShell 小命令 检测到来自已知 PowerShell 利用框架的 PowerShell Commandlet 的执行时，会触发此规则。
规则 PowerShell 由可执行版本不匹配调用 该规则通过比较主机和引擎版本，检测是否从任意可执行文件调用 PowerShell 。
规则 已删除备份目录 当运行命令删除存储在本地计算机上的备份目录时，该规则就会触发。
规则 访问浏览器登录数据 当网络浏览器存储的登录凭证（如用户名和密码）被查看或检索时，该规则就会触发。 该规则可能表明，对手通过读取目标浏览器的特定文件，从网络浏览器中获取凭证。
规则 使用远程调试运行 Java 当 Java 进程运行时启用了远程调试，允许从本地主机以外的源连接时，就会触发此规则。
规则 通过 Cmdkey.exe 对缓存凭据进行潜在侦查 检测到使用 cmdkey 在系统中查找缓存凭证时，会触发此规则。 该规则可能表明，对手正试图访问缓存的域凭据，以便在域控制器不可用的情况下启用身份验证。
注意： 默认情况下禁用该规则，因为 cmdkey 可用于合法的管理任务。 如果要识别表明对缓存凭据进行侦查的命令行用法，请启用此规则。
规则 安装 DHCP 调用动态链接库 当检测到注册表中通过 CalloutDlls 和 CalloutEnabled 参数安装了 Callout DLL 时，此规则将触发。 该规则可能表示使用 CalloutDlls 在 DHCP 服务器的上下文中运行代码。
规则 Active Directory 用户后门 该规则可检测用户在未指定目标账户凭据的情况下控制另一个账户的情况。
规则 PowerShell下载并运行文件 当 PowerShell 命令下载并运行远程文件时，该规则会触发。
规则 NTDS.dit域哈希检索活动 当可疑命令可能与试图从 NTDS.dit 文件中检索哈希值有关时，该规则就会触发。
规则 InvisiMole已加载包装器动态链接库 检测到与InvisiMole加载程序相关联的进程活动时，将触发此规则。
构建块 BB:BehaviorDefinition: 通过 Diskshadow.exe 或 Vshadow.exe 执行任意脚本 当 diskshadow.exe 或 vshadow.exe 文件带参数启动以运行任意脚本时，构建模块就会触发。 该构件可能表明有人恶意试图访问敏感文件，如 NTDS.dit。
构建块 BB:BehaviorDefinition: 通过 Get-NetTCPConnection 当网络信息查询生成网络连接列表时，积木模块就会触发。
构建块 BB:BehaviorDefinition: PowerShell 文件下载活动 当 PowerShell 被用于下载文件时，构建模块会进行检测。

下表显示了 IBM 安全 QRadar 端点内容扩展 2.9.0 中的自定义属性。

表 4。 IBM 安全 QRadar 端点内容扩展 2.9.0 中的自定义属性
名称 已优化 找到位置
SID 历史 TRUE Microsoft Windows
引擎版本 TRUE Microsoft Windows
授权 FALSE Microsoft Windows
对象类 FALSE Microsoft Windows
LDAP 显示名称 FALSE Microsoft Windows
主机版本 TRUE Microsoft Windows
管道名称 TRUE Microsoft Windows

(返回页首）

IBM 安全性 QRadar 端点 2.8.3

下表显示了 IBM 安全 QRadar 端点内容扩展 2.8.3 中的新规则和更新规则以及构建模块。

表 5。 IBM 安全 QRadar 端点内容扩展 2.8.3 中的规则
类型 名称 描述
规则 由于密码错误导致多次登录失败

检测密码喷射攻击。
规则 可能的暴力尝试

检测暴力破解攻击。
规则 远程 :VNC 从因特网访问

当检测到从互联网到本地主机的虚拟网络计算（VNC）应用程序时触发。
规则 远程: 从因特网进行远程桌面访问

检测到从互联网到本地主机的 Microsoft 远程桌面协议 (RDP) 时触发。
规则 可疑有效帐户登录

检测到来自有效帐户的可疑登录时触发。
规则 进程的可疑父进程

当一个不应该有子进程的进程启动一个进程时触发。
规则 已删除关键文件

当关键文件或关键目录中的文件被删除时触发。
规则 关键文件被修改，随后出现可疑活动

当重要文件或目录被修改以及发生可疑活动时触发。
规则 与潜在恶意 IP 地址进行通信

与潜在敌对 IP 地址通信时触发。 潜在的敌对 IP 地址要么记录在 IBM X force 中，要么记录在自定义参考集集合中。
规则 检测到可疑的 PSExec 模块使用情况

检测到使用 PSExec 模块时触发。
规则 服务配置为使用 PowerShell

当服务配置为使用 PowerShell 时触发。
规则 Ransomware: 事件中的R旭 IOC

在事件中观察到与 Ryuk 勒索软件相关的 IOC（文件散列）时触发。
规则 Ransomware: 流中的R旭 IOC

在流量中观察到与 Ryuk 勒索软件相关的 IOC（文件散列）时触发。
规则 使用 PowerShell

检测搜索常用密码存储位置以获取用户凭证的尝试。
规则 使用 PowerShell枚举来自 Windows Credential Manager 的凭证

检测为获取用户凭证而搜索常用密码存储位置的连续尝试。
规则 通过 PowerShell

检测使用与令牌冒充或令牌盗窃相关的 Windows API 函数的尝试。
规则 Regsvr32 出站网络连接

检测由 regsvr32.exe 文件启动的出站连接。
规则 Dllhost 出站网络连接

检测由 dllhost.exe 文件启动的出站连接。
规则 RunDLL32 出站网络连接

检测由 rundll32.exe 文件启动的出站连接。
规则 Rransomware: Flows 中的 Petya/ NotPetya 有效内容

在流中观察到 Petya 有效内容时触发。
规则 访问令牌滥用

检测令牌模拟和窃取。 例如DuplicateToken(Ex) 和 ImpersonateLoggedOnUser 加上 LOGON32_LOGON_NEW_CREDENTIALS 标志）
规则 在事件中检测 Turla 注册表 IOC

在将 IOC 识别为 Turla 注册表值时触发。
规则 妥协后的潜在 StandIn 流量

检测到可能属于 X-Force Red StandIn 的行为时触发。
构建块 BB:CategoryDefinition:具有敏感权限的文件

在以下目录中检测到当前工作目录 (CWD) 时触发：

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron*（例如 /etc/cron.hourly、 /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

以下文件处于监控之下：

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
构建块 BB:CategoryDefinition:敏感的当前工作目录

定义触发目录遍历攻击警报的敏感当前工作目录。
构建块 BB:CategoryDefinition: 已访问敏感文件

定义当在以下目录中检测到当前工作目录 (CWD) 时触发的规则：

  • /boot
  • /etc/pam.d
  • /etc/rsyslog
  • /etc/openldap
  • /etc/sysconfig/network-script
  • /var/spool/cron
  • /etc/cron*（例如 /etc/cron.hourly、 /etc/cron.weekly)
  • /etc/init.d/
  • bin/login
  • /bin/passwd
  • /etc/*.conf

以下文件处于监控之下：

  • /etc/shadow
  • /etc/passwd
  • /etc/sudoers
  • /etc/syslog.conf
  • /etc/crontab
  • /etc/gshadow
  • /etc/group
  • /etc/sysconfig/syslog
  • /etc/security/opasswd
  • /etc/default/ufw
  • .bash_history
  • /usr/bin
  • /usr/sbin
  • /bin
  • /boot
  • /usr/local/bin
  • /usr/local/sbin
  • /opt/bin
  • /opt/sbin
  • Windows
  • C:\autoexec.bat
  • C:\boot.ini
  • C:\config.sys
  • C:\Windows\system.ini
  • C:\Windows\win.ini
  • C:\Windows\regedit.exe
  • C:\Windows\System32\userinit.exe
  • C:\Windows\explorer.exe
  • C:\Program Files\Microsoft Security Client\msseces.exe
构建块 BB:BehaviorDefinition: 目录发现 (Windows)

定义何时使用 PowerShell Get-ChildItem 命令递归发现目录。 指定 -Recurse 参数或在 ForEach 循环内使用该命令时，会发生此事件。
构建块 BB:BehaviorDefinition: 潜在 StandIn 妥协后的流量

观察到与 StandIn 工具相关的进程时触发。 StandIn 是红队常用的渗透测试工具。 然而，恶意行为者可以利用这一应用程序进行攻击。
构建块 BB:BehaviorDefinition: 潜在 StandIn 妥协后的持续流量

观察到与StandIn工具相关的持久化命令时触发。 StandIn 是红队常用的渗透测试工具。 然而，恶意行为者可以利用这一应用程序进行攻击。
构建块 BB:BehaviorDefinition: 潜在的 StandIn 漏洞防御后规避流量

观察到与StandIn工具相关的防御规避命令时触发。 StandIn 是红队常用的渗透测试工具。 然而，恶意行为者可以利用这一应用程序进行攻击。
构建块 BB:BehaviorDefinition: 潜在的 StandIn 漏洞后特权升级流量

观察到与 StandIn 工具相关的权限升级命令时触发。 StandIn 是红队常用的渗透测试工具。 然而，恶意行为者可以利用这一应用程序进行攻击。
构建块 BB:BehaviorDefinition: 潜在的 StandIn 漏洞枚举后流量

观察到与 StandIn 工具相关的枚举命令时触发。 StandIn 是红队常用的渗透测试工具。 然而，恶意行为者可以利用这一应用程序进行攻击。

(返回页首）

IBM Security QRadar 端点 2.8.2

下表显示了 IBM Security QRadar Endpoint Content Extension 2.8.2中的规则。

表 6。 IBM 安全性 QRadar 端点内容扩展 2.8.2 中的规则
类型 名称 描述
规则 配置为使用管道的服务

将服务配置为使用管道时触发。 这可能指示攻击者使用 getsystem通过特权升级获取对用户系统的访问权。

(返回页首）

IBM Security QRadar 端点 2.8.1

下表显示了 IBM Security QRadar Endpoint Content Extension 2.8.1中的新规则。

表 7。 IBM 安全性 QRadar 端点内容扩展 2.8.1 中的新规则
类型 名称 描述
规则 MOVEit 传输漏洞利用命令

通过命令行损害指示符检测 MOVEit 传输漏洞利用。
规则 MOVEit 传输漏洞利用文件名

通过损害的文件名指示符检测 MOVEit 传输漏洞利用。
规则 MOVEit 传输漏洞利用散列

通过损害的散列指示符检测 MOVEit 传输漏洞利用。

(返回页首）

IBM Security QRadar 端点 2.8.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.8.0中的新规则和构建块。

表 8。 IBM 安全性 QRadar 端点内容扩展 2.8.0 中的新规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition:账户篡改 - 登录失败的可疑原因 在失败登录时检测不常见的错误代码，以确定可疑活动并篡改已禁用或以某种方式受限的帐户。
构建块 BB:BehaviorDefinition:云账户发现 检测云帐户发现命令。
构建块 BB:BehaviorDefinition: Cloud Firewall 已修改或已停止 检测已修改或已停止的云防火墙。
构建块 BB:BehaviorDefinition: 使用令牌创建进程 检测从 PowerShell 创建的令牌。
构建块 BB:BehaviorDefinition: 从 PowerShell 检测从 PowerShell 发现的电子邮件帐户。
构建块 BB:BehaviorDefinition: 登录密码无效 在登录时检测到无效密码。
构建块 BB:BehaviorDefinition: Kerberos 预验证时密码无效 在 Kerberos 预认证期间检测到无效的密码登录。
构建块 BB:BehaviorDefinition: 已添加邮箱权限 检测添加的邮箱许可权
构建块 BB:BehaviorDefinition: 潜在的初始访问任务 定义可能的初始访问任务。 这包括诸如帐户发现，停止防火墙或更改许可权之类的活动。
构建块 BB:BehaviorDefinition:流氓命名管道冒充 通过恶意命名管道模拟检测特权升级尝试。
构建块 BB:BehaviorDefinition: 可疑的用户代理更改 检测用户代理程序的可疑更改。 对手可以使用与 Web 流量关联的应用层协议进行通信，以通过与现有流量混合来避免检测或网络过滤。
构建块 BB:BehaviorDefinition: 可疑向外 SMTP 连接 检测通过 SMTP 协议的潜在渗透。
构建块 BB:BehaviorDefinition: 使用显式凭据的可疑远程登录 检测使用显式凭证登录的可疑进程。
构建块 BB:BehaviorDefinition: 已将用户添加到本地管理员 检测添加到本地 Administrators 组的用户帐户，这可能是合法活动或特权升级活动的标志。
构建块 BB:BehaviorDefinition: 通过 Curl 更改了用户代理 检测通过 curl 更改的用户代理程序。
构建块 BB:BehaviorDefinition: 用户代理已通过 PowerShell 检测通过 PowerShell 更改的用户代理。
构建块 BB:BehaviorDefinition: Windows 防火墙已停止 检测到 Windows 防火墙已停止。
规则 访问令牌滥用 检测令牌模拟和窃取。 例如DuplicateToken(Ex) 和 ImpersonateLoggedOnUser 加上 LOGON23_LOGON_NEW_CREDENTIALS 标记）
规则 Dllhost 出站网络连接 检测 dllhost.exe启动的出站连接。
规则 使用 PowerShell 检测对手搜索公共密码存储位置以获取用户凭证。
规则 使用 PowerShell枚举来自 Windows Credential Manager 的凭证 检测对手搜索公共密码存储位置以获取用户凭证。
规则 检测到影响命令历史记录记录活动 检测影响命令历史记录记录活动。
规则 由于密码错误导致多次登录失败 检测执行密码喷涂的对手。
规则 来自缺省帐户的多次登录失败 检测来自缺省帐户的多个登录失败。
规则 可能的暴力尝试 检测执行蛮力的对手。
规则 从浏览器中可能泄露存储的凭证 检测存储在浏览器中的凭证的潜在渗透。
规则 检测到 PPID sppofing 检测系统上的 PPID 电子欺骗。
规则 Regsvr32 出站网络连接 检测由 regsvr32.exe 文件启动的出站连接。
规则 RunDLL32 出站网络连接 检测由 rundll32.exe 文件启动的出站连接。
规则 可疑活动后跟潜在初始访问任务 执行可能的初始访问任务时触发，后跟可疑活动。 初始访问任务包括: 帐户发现，关闭防火墙等。
规则 从 Windows 存储的凭证 检测来自 Windows 的存储凭证。
规则 SID 历史记录注入 检测 SID (安全标识) 历史记录注入活动。
规则 可疑有效帐户登录 检测到来自有效帐户的可疑登录时触发。
规则 通过 PowerShell 检测利用与令牌模拟或盗窃相关的 Windows API 功能的对手。

以下是 IBM Security QRadar Endpoint 2.8.0 内容扩展中的新定制属性的列表。

名称 描述 已优化
认证包 这是从 DSM 有效内容中抽取的缺省定制认证包。 是
属性新值 这是从 DSM 有效内容中抽取的缺省定制属性新值。 否
描述 这是从 DSM 有效内容中抽取的缺省定制描述。 否
已启动 缺省定制从 DSM 有效内容中抽取 "已启动"。 是
模拟级别 这是从 DSM 有效内容中抽取的缺省定制模拟级别。 是
登录过程 这是从 DSM 有效内容中抽取的缺省定制登录进程。 是
目标服务器名称 这是从 DSM 有效内容中抽取的缺省定制目标服务器名称。 否

(返回页首）

IBM Security QRadar 端点 2.7.2

下表显示了 IBM Security QRadar Endpoint Content Extension 2.7.2中的新规则。

表 9。 IBM 安全性 QRadar 端点内容扩展 2.7.2 中的新规则
类型 名称 描述
规则 检测事件中的 Turla 目录和文件名 IOC 在将 IOC 识别为 Turla 目录和文件名组合时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 检测事件中的 Turla Filename IOC 在将 IOC 识别为与 Turla 相关的文件名时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 检测事件中的 Turla Hash IOC 当 IOC 被识别为 Turla 散列时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 检测事件中的 Turla IP IOC 当 IOC 被识别为已知的 Turla IP 时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 检测事件中的 Turla Registry IOC 在将 IOC 识别为 Turla 注册表值时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 在事件中检测 Turla URL Host IOC 当IOC被识别为已知的 URL 主机时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
规则 在事件中检测到 Turla URL IOC 当IOC被识别为已知的 URL 时触发。
注: 已从此规则中排除规则 Malware as a Service Hash IOC in Events， Ransomware: R旭 IOC in Events 以避免重复，其目的是具有专用规则响应。
以下是 IBM Security QRadar Endpoint 2.7.2 内容扩展中新引用集的列表。
  • 图拉 SHA 散列
  • Turla MD5 散列
  • 已知图拉文件名
  • 已知 Turla URL
  • 已知 Turla IP
  • 已知 Turla 主机名

(返回页首）

IBM Security QRadar 端点 2.7.1

以下是在 AQL 规则过滤器中接收到带有括号的问题修订的构建块的列表。
  • BB:BehaviorDefinition: 关键流程已创建
  • BB:BehaviorDefinition:由快捷方式 (lnk) 文件创建的临界进程
  • BB:BehaviorDefinition: 在临时目录中创建新文件
  • BB:BehaviorDefinition: 新注册表已添加到 HKLM/HKCU (Windows)

已除去 恶意软件清除失败 保存的搜索。

固定引用集链接标识不正确。

(返回页首）

IBM Security QRadar 端点 2.7.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.7.0中的新规则。

表 10. IBM 安全性 QRadar 端点内容扩展 2.7.0 中的新规则
类型 名称 描述
规则 Microsoft Windows RCE 漏洞-文件修改

在 Microsoft Exchange 中检测远程代码执行漏洞。

Microsoft 发出了 "CVE-2022-41040" 和 "CVE-2022-41082" Exchange Server。
规则 Microsoft Windows RCE 漏洞-使用 Certutil 进行可疑下载

在 Microsoft Exchange 中检测远程代码执行漏洞。

Microsoft 发出了 "CVE-2022-41040" 和 "CVE-2022-41082" Exchange Server。
规则 Microsoft Windows RCE 漏洞-可疑文件

在 Microsoft Exchange 中检测远程代码执行漏洞。

Microsoft 发出了 "CVE-2022-41040" 和 "CVE-2022-41082" Exchange Server。
规则 Microsoft Windows RCE 漏洞-可疑散列 检测已知的 Windows RCE SHA256 散列。
规则 Microsoft Windows RCE 漏洞-可疑 IP

此规则会检测已知的 Windows RCE IP。

注: 根据日志源进行调整，以减少与此规则匹配的事件数。

(返回页首）

IBM Security QRadar 端点 2.6.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.6.0中的新构建块和规则。

表 11. IBM 安全性 QRadar 端点内容扩展 2.6.0 中的新构建块和规则
类型 名称 描述
构建块 BB:BehaviorDefinition: 已创建关键流程

检测创建的新关键流程。 关键流程是指可能被对手滥用来执行恶意活动的流程。 常见进程包括PowerShell, cmd、mshta。

注: 可以通过 进程 CommandLine 字段来调整规则。 恶意软件中出现的一些常见 进程 CommandLine 关键字包括: findstr， tmp， temp， vbs， regsvr32， command， outfile， dll和 http。
构建块 BB:BehaviorDefinition: 快捷方式 (lnk) 文件创建的关键进程 检测从快捷方式 (lnk) 文件创建的新进程。 应监控对手通常使用的进程，如 PowerShell, cmd、mshta。
构建块 BB:BehaviorDefinition: 文件修改过多 在短时间内检测过多的文件修改。
构建块 BB:BehaviorDefinition: 在临时目录中创建新文件

检测在临时目录下创建的新文件。 某些临时目录可能被对手用于删除恶意文件。

注: 受监视的目录是。
  • -- Windows --
  • AppData\Local\Temp
  • AppData\Roaming\
构建块 BB:BehaviorDefinition: 新注册表已添加到 HKLM/HKCU (Windows) 检测 HKLM 或 HKCU 目录下设置的新注册表键。 虽然此活动仅是合法的，但如果检测到潜在的勒索软件行为，那么这可能是一种持久性方法。
构建块 BB:BehaviorDefinition: 执行关键进程的快捷方式 (lnk) 文件 (1)

根据 QRadar 规则的顺序，检测从快捷方式 (lnk) 文件创建的关键进程。

注意：接收事件的顺序可能有误，请参阅 BB:BehaviorDefinition:快捷方式 (lnk) 文件执行关键进程 (2) 了解相反的顺序。
构建块 BB:BehaviorDefinition: 执行关键进程的快捷方式 (lnk) 文件 (2)

根据 QRadar 规则的顺序，检测从快捷方式 (lnk) 文件创建的关键进程。

注意：接收事件的顺序可能有误，请参阅 BB:BehaviorDefinition:快捷方式 (lnk) 文件执行关键进程 (1) 了解相反的顺序。
规则 潜在 Mailto Ransomware 行为 (Windows) 检测到潜在的 mailto 勒索软件行为时触发。 mailto 勒索软件通常执行以下步骤 (根据变体可能有细微更改):
  1. 注册表更改以创建密钥 (用于持久性)。
  2. 删除可执行的 ion 临时目录。
  3. 删除影子副本。
  4. 加密 (文件修改)。
规则 通过 MSDT 利用的潜在窗口

检测到潜在的 Microsoft 支持诊断工具 (MSDT) 漏洞利用时触发。

Microsoft 针对 MSDT 上的漏洞发出了 "CVE-2022-30190"。 对手可以使用 MSDT 执行远程代码执行以运行任意代码。
规则 快捷方式 (lnk) 文件执行命令 (Windows) 当快捷方式 (lnk) 文件创建了可执行命令的进程时触发。 一些恶意软件 (如 Emotet) 使用在打开时执行恶意命令的快捷方式文件。

BB:BehaviorDefinition: 可疑端点活动构建模块的规则过滤器中添加了其他规则。

将针对 勒索软件加密文件扩展 规则更新规则过滤器。

(返回页首）

IBM Security QRadar 端点 2.5.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.5.0中的新构建块和规则。

表 12. IBM 安全性 QRadar 端点内容扩展 2.5.0 中的新构建块和规则
类型 名称 描述
构建块 BB:BehaviorDefinition: 与潜在敌对宿主通信（参考资料集）

定义与潜在敌对主机的通信，按引用集分类。

以 "XFE ATPF" 前缀开头的引用集由 Threat Intelligence 应用程序自动管理，并且需要付费预订。 其他参考集由 Threat Intelligence 应用程序提供，可用于包含第三方威胁情报订阅源。
构建块 BB:BehaviorDefinition: 与潜在敌对主机通信（X-force 分类） 检测到与潜在敌对主机的通信时触发。 按 X 力分类。
构建块 BB:BehaviorDefinition: 与潜在敌对 IP 地址通信（参考集）

定义与潜在恶意 IP 的通信，按引用集分类。

以 "XFE ATPF" 前缀开头的引用集由 Threat Intelligence 应用程序自动管理，并且需要付费预订。 其他参考集由 Threat Intelligence 应用程序提供，可用于包含第三方威胁情报订阅源。
构建块 BB:BehaviorDefinition: 与潜在敌对 IP 地址通信（X-force 分类） 当检测到与潜在的不友好 IP 地址进行通信时触发。 按 X 力分类。
规则 BB:BehaviorDefinition: 关键文件修改 检测关键文件或目录的任何修改 (包括创建或删除)。
规则 已修改关键文件，后跟可疑活动 在修改关键文件或目录时触发，后跟可疑活动。 这可能指示攻击者正在修改文件并删除可执行文件以获取对主机的访问权。
规则 通过 RDP 连接登录失败次数过多 当检测到来自单个源 IP 地址的 RDP 中同一机器上的多个失败认证事件时触发。
构建模块 BB:CategoryDefinition: 具有敏感权限的文件更名为 BB:CategoryDefinition: 端点的关键文件和目录。 因此，两个规则收到了对其描述的更新，以反映重命名的构建块。
  • 已删除关键文件
  • 已更改关键文件许可权

以下是在 IBM Security QRadarEndpoint Content Extension 2.5.0中接收到其规则注释更新的构建块和规则的列表。

  • 与潜在的敌对主机进行通信
  • 与潜在恶意 IP 地址进行通信
  • 通过网络连接登录失败次数过多

将针对 与潜在恶意主机通信 和 与潜在恶意 IP 地址通信 构建块更新规则过滤器。

以下是 IBM Security QRadarEndpoint Content Extension 2.5.0中新引用集的列表。

  • XFE ATPF-anonsvcs_ipv4
  • XFE ATPF-anonsvcs_ipv6
  • XFE ATPF-anonsvcs_url
  • XFE ATPF-bots_ipv4
  • XFE ATPF-bots_ipv6
  • XFE ATPF-c2server_ipv4
  • XFE ATPF-c2server_ipv6
  • XFE ATPF-c2server_url
  • XFE ATPF-cryptomining_ipv4
  • XFE ATPF-cryptomining_ipv6
  • XFE ATPF-cryptomining_url
  • XFE ATPF-ew_url
  • XFE ATPF-mw_ipv4
  • XFE ATPF-mw_ipv6
  • XFE ATPF-mw_url
  • XFE ATPF-phishing_url
  • XFE ATPF-scanning_ipv4
  • XFE ATPF-scanning_ipv6

以下是参考集的列表，其中元素类型在 IBM Security QRadarEndpoint Content Extension 2.5.0中更新为 "字母数字忽略大小写"。

  • Petya_File_Hash
  • Petya_File_Name
  • Shim 允许列表
  • WCry_FileHash
  • WCry_FileName
  • WCry_HostName

(返回页首）

IBM Security QRadar 端点 2.4.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.4.0中的定制属性。

表 13. IBM 安全性 QRadar 端点内容扩展 2.4.0 中的定制属性
名称 已优化 找到位置
完整性级别 是 Microsoft Windows
ParentCommandLine 是 Microsoft Windows
进程标识 是 Microsoft Windows
注册表值名称 是 Microsoft Windows
已签名 是 Microsoft Windows

表达 ID 固定在 编码参数、起始地址 和 终止进程名称 自定义属性中。

下表显示了 IBM Security QRadar Endpoint 2.4.0中的规则和构建块。

表 14. IBM 安全性 QRadar 端点 2.4.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition: 从模拟系统目录加载图像 从伪装为系统目录的目录装入可执行文件或 DLL 时触发。
构建块 BB:BehaviorDefinition:可疑端点活动 已添加 潜在 UAC 旁路 以列出可疑活动
构建块 BB:BehaviorDefinition: UAC 绕过 - DLL 劫持（非系统目录） 将特定文件放到特定位置时触发，在该位置可以使用真正的 Windows 可执行文件在不使用 UAC 的情况下装入和运行这些文件。
构建块 BB:BehaviorDefinition: UAC 旁路 - DLL 劫持（系统目录） 当特权进程从系统目录装入未签名的 DLL 时触发。
构建块 BB:BehaviorDefinition: UAC 旁路 - 升高的 COM 对象 当可绕过 UAC 的 COM 接口由 dllhost.exe 文件托管并产生特权进程时触发。
构建块 BB:BehaviorDefinition: UAC 旁路 - IE 附加安装程序 当 Internet Explorer 附加组件安装程序从 COM 接口启动时衍生特权进程时触发。
构建块 BB:BehaviorDefinition: UAC 旁路 - 模拟系统目录（图像） 当特权进程从伪装为系统目录的目录装入可执行文件或 DLL 时触发。
构建块 BB:BehaviorDefinition: UAC 旁路 - 模拟系统目录（进程） 当特权进程从伪装成系统目录的目录启动时触发。
构建块 BB:BehaviorDefinition: 从系统目录加载无符号 DLL 从系统目录装入无符号 DLL 时触发。
构建块 BB:CategoryDefinition: 提升进程 (Windows) 标识提升的进程。
构建块 BB:CategoryDefinition:UAC旁路注册表密钥 标识已知用于促进 UAC 绕过的注册表键。
规则 潜在 UAC 旁路 检测到与绕过 Windows 用户帐户控制相关联的行为时触发。

(返回页首）

IBM Security QRadar 端点 2.3.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.3.0中的定制属性。

表 15. IBM 安全性 QRadar 端点内容扩展 2.3.0 中的定制属性
名称 已优化 找到位置
编码参数 是 Microsoft Windows

下表显示了 IBM Security QRadar Endpoint 2.3.0中的规则和构建块。

表 16. IBM 安全性 QRadar 端点 2.3.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition:从远程主机访问远程桌面 标识从远程主机访问远程桌面应用程序的流
构建块 BB:BehaviorDefinition: 已访问管理共享 访问管理共享时触发。
构建块 BB:BehaviorDefinition:钴打击入站流量 标识显示向远程主机发送邮件的主机的流。
构建块 BB:BehaviorDefinition:钴打击入站流量 当检测到已知是来自钴打击服务器的通信的 TLS 指纹时触发。
构建块 BB:BehaviorDefinition: 科博尔特罢工出境流量 检测到已知是来自钴攻击客户机的通信的 TLS 指纹时触发。
构建块 BB:BehaviorDefinition: 潜在的钴打击流量 当观察到已知与钴打击相关的 TLS 指纹时触发。 钴罢工是红队常用的渗透测试工具。 但是，恶意参与者通常会在自己的攻击中使用非法获取的此应用程序版本。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
构建块 BB:BehaviorDefinition: 使用特权账户启动编程环境 使用特权帐户启动编程环境时触发。
构建块 BB:BehaviorDefinition: 常规端点管理 定义常规管理活动，例如用户管理，命令行中的下载文件或具有提升特权的执行。
构建块 BB:BehaviorDefinition:可疑端点活动 定义可疑端点活动。
构建块 BB:BehaviorDefinition: 来自远程主机的 VNC 活动 标识从远程主机访问 VNC 服务的流。
规则 检测到钴攻击行为 检测到可能属于钴打击的行为时触发。 钴罢工是红队常用的渗透测试工具。 但是，恶意参与者通常会在自己的攻击中使用非法获取的此应用程序版本。
规则 与潜在的敌对主机进行通信 当检测到与潜在敌对主机 (按 X-force 分类或在引用集集合中) 进行通信时触发。
规则 编程环境中的编码命令恶意使用 在 cmd 或 PowerShell 类型的编程环境中使用编码命令时触发。
规则 恶意软件: 潜在的磁带机流量 当观察到已知与 Dridex 木马相关的 TLS 指纹时触发。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 恶意软件: 潜在的 Emotet 流量 当观察到已知与 Emotet 木马相关的 JA3 指纹时触发。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 恶意软件: 潜在的帝国流量 当观察到已知与帝国下载器相关的 TLS 指纹时触发。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 恶意软件: 潜在的 Trickbot 流量 在观察到已知与 Trickbot 木马相关的 TLS 指纹时触发。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 潜在 Metasploit 流量 当观察到已知与 Metasploit 相关的 TLS 指纹时触发。 Metasploit 是红队常用的渗透测试工具。 然而，恶意行为者往往会在自己的攻击中使用它。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 潜在的 "托运" 流量 当观察到已知与 Tor 项目相关的 TLS 指纹时触发。 Tor 是一种非恶意匿名化服务，可用于绕过策略和进行恶意活动。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 Ransomware: R旭潜在流量 在观察到已知与R行为勒索软件相关的 TLS 指纹时触发。 该规则希望同时匹配客户机和服务器指纹，以降低误报风险。
规则 远程: 从因特网进行远程桌面访问 从因特网到本地主机检测到 Microsoft 远程桌面协议时触发。 大多数公司将此协议视为违反公司策略。 在您的网络中，如果这是正常活动，应将此规则禁用。
规则 远程 :VNC 从因特网访问 从因特网到本地主机检测到 VNC (远程桌面访问应用程序) 时触发。 许多公司将此视为应该解决的策略问题。 在您的网络中，如果这是正常活动，请将此规则禁用。
规则 服务配置为使用 PowerShell 当服务配置为使用 PowerShell 时触发。
规则 进程的可疑父代 当服务配置为使用 PowerShell 时触发。
规则 检测到可疑的 PSExec 模块使用情况 检测到使用 PSExec 模块时触发。

下表显示了 IBM Security QRadar Endpoint 2.3.0 中更新的参考集

表 17. 更新了 IBM 安全性 QRadar 端点 2.3.0 中的引用集
名称 描述
缺省进程名称和进程目录 列出敏感进程及其目录。

在 " 端点概述 " Pulse 仪表板中修正了同步错误。

(返回页首）

IBM Security QRadar 端点 2.2.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.2.0中的定制属性。

表 18. IBM 安全性 QRadar 端点内容扩展 2.2.0 中的定制属性
名称 已优化 找到位置
ServiceFileName 是 Microsoft Windows

下表显示了 IBM Security QRadar Endpoint 2.2.0中的规则和构建块。

表 19. IBM 安全性 QRadar 端点 2.2.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition: 恶意软件即服务路径 IOC

当观察到与恶意软件即服务 (MaaS) 相关的文件路径损害指示符 (IoC) (例如 Emotet Trojan 和 Trickbot Trojan) 时触发。

IOC 将遵循以下定制目录中的模式:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

将预填充 Malware as a Service_Path 引用集。 使用相关 IOC 调整此参考集。
规则 潜在内存代码注入 当钴攻击信标衍生 Windows 进程时触发。 钴打击信标会衍生出本机 Windows 二进制文件并处理其内存空间，从而导致衍生出的进程没有命令行参数。 指定。
规则 配置为使用管道的服务 将服务配置为使用管道时触发。 这可能指示攻击者使用 getsystem 通过特权升级获取对用户系统的访问权。

(返回页首）

IBM Security QRadar 端点 2.1.1

修复了 端点概述 和 Ransomware Pulse 仪表板中的同步错误。

(返回页首）

IBM Security QRadar 端点 2.1.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.1.0中的定制属性。

表 20. IBM 安全性 QRadar 端点内容扩展 2.1.0 中的定制属性
名称 已优化 找到位置
进程名称 是
已终止的进程 是 Microsoft Windows

下表显示了 IBM Security QRadar Endpoint 2.1.0中的规则和构建块。

表 21. IBM 安全性 QRadar 端点 2.1.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition: 恶意软件即服务路径 IOC

当观察到与恶意软件即服务 (MaaS) 相关的文件路径损害指示符 (IoC) (例如 Emotet Trojan 和 Trickbot Trojan) 时触发。

IOC 将遵循以下定制目录中的模式:

  • %APPDATA%\roaming\winapp\client_id
  • %APPDATA%\roaming\winapp\group_tag
  • %APPDATA%\system32\Tasks\services update
  • %APPDATA%\system32\Tasks\MsSysToken
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\SYSWOW64\RandomNumber.EXE
  • C:\WINDOWS\TEMP\RandomNumber.TMP

将预填充 Malware as a Service_Path 引用集。 使用相关 IOC 调整此参考集。
构建块 BB:DeviceDefinition: 操作系统 定义系统上的所有操作系统。
规则 检测事件中的恶意 IOC

在引用集集合中将 IoC 分类为恶意时触发。

Malware as a Service Hash IOC in Events和 Ransomware: R旭 IOC in Events 规则将从此规则中排除，以避免重复。 他们的目的是要有专门的规则响应。
规则 检测流中的恶意 IOC

在引用集集合中将 IoC 分类为恶意时触发。

流中的恶意软件即服务散列 IOC和 Ransomware: 流中的R旭 IOC 将从此规则中排除，以避免重复。 他们的目的是要有专门的规则响应。
规则 来自同一主机的过多管理共享访问失败 在同一主机中看到访问管理共享的重复失败时触发。

此规则已从 对来自同一源的管理共享的过度失败访问权 重命名
规则 通过网络连接登录失败次数过多

在同一机器上检测到来自单个源 IP 地址的多个失败认证事件时触发。

此行为指示潜在的暴力尝试访问机器。

此规则已从 过多登录失败 (通过 RDP)重命名。
规则 通过网络连接到多台机器的登录失败次数过多

在不同机器上检测到来自单个源 IP 地址的多个失败认证事件时触发。

此行为指示潜在的暴力尝试访问机器。

此规则已从 过多登录失败 (通过网络连接到多台机器)重命名。
规则 假脱机创建的恶意 DLL 当 spoolsv.exe创建了可疑文件时触发。
规则 恶意软件即服务行为

在观察到恶意软件即服务行为时触发。

这些行为包括在端点上使用下载实用程序以及显示损害指示的文件路径。
规则 事件中的恶意软件即服务散列 IOC

当观察到与MaaS,（如 Emotet 木马和 Trickbot 木马）相关的文件散列 IoC 时触发。

将预填充 Malware as a Service_SHA1， Malware as a Service_SHA256和 Malware as a Service_MD5 参考集。 使用相关的 IoC来调整这些参考集。
规则 流中的恶意软件即服务散列 IOC

当观察到与MaaS,（如 Emotet 木马和 Trickbot 木马）相关的文件散列 IoC 时触发。

将预填充 Malware as a Service_SHA1， Malware as a Service_SHA256和 Malware as a Service_MD5 。 使用相关的 IoC来调整这些参考集。
规则 由可疑进程衍生的编程环境 当可疑进程催生编程环境时触发。 这可能指示攻击者尝试执行恶意脚本。

已针对 Windows 漏洞更新此规则。
规则 已创建勒索软件解密指令 在机器上找到解密指令文件名时触发。 勒索软件通常会创建解密指令文件，以向用户提供如何支付赎金以恢复其文件的指令。 此特定文件通常使用通用术语 (例如 decrypt， recover， instructions或 how to) 进行命名。

已针对R旭勒索软件更新此规则。
规则 勒索软件加密文件扩展名 检测到已知勒索软件文件扩展名时触发。 勒索软件通常会对文件进行加密，并在其过程中附加特定文件扩展名。

已针对R旭勒索软件更新此规则。
规则 在多台机器上检测到勒索软件 IOC 在五台或更多台不同机器上检测到勒索软件 IoC 时触发。 这可能指示勒索软件正在网络中成功传播。

已针对此发行版中添加的所有新检测规则更新此规则。
规则 Ransomware: 事件中的R旭 IOC

当观察到与R行为勒索软件相关的文件散列 IoC 时触发。

Ryuk_SHA256， Ryuk_SHA1和 Ryuk_MD5 已预填充。 使用相关的 IoC来调整这些参考集。
规则 Ransomware: 流中的R旭 IOC

当观察到与R行为勒索软件相关的文件散列 IoC 时触发。

Ryuk_SHA256， Ryuk_SHA1和 Ryuk_MD5 已预填充。 使用相关的 IoC来调整这些参考集。
规则 Ransomware: R旭服务或进程终止

当R旭勒索软件在生成自身的副本后终止正在运行的进程时触发。

已预填充 R旭服务和进程终止列表 参考集。 使用相关服务和流程调整此参考集。

下表显示了 IBM Security QRadar Endpoint 2.1.0中的参考集。

表 22. IBM 安全性 QRadar 端点 2.1.0 中的参考集
名称 描述
恶意软件作为 Service_MD5 列示作为 malwares as a service 的指示符的 MD5 文件散列。
作为 Service_Path 的恶意软件 列出作为 malwares as a service 的指示符的文件路径。
恶意软件作为 Service_SHA1 列出作为 malwares as a service 的指示符的 SHA1 文件散列。
作为 Service_SHA256的恶意软件 列出作为 malwares as a service 的指示符的 SHA256 文件散列。
Pulse_import 脉冲仪表板。
R旭服务和进程终止列表 列出R旭勒索软件终止的可能流程或服务。
Ryuk_MD5 列出 MD5 文件散列，这些散列是R旭勒索软件的指示符。
Ryuk_SHA1 列出 SHA1 文件散列，这些散列是R旭勒索软件的指示符。
Ryuk_SHA256 列出 SHA256 文件散列，这些散列是R旭勒索软件的指示符。

IBM Security QRadar Endpoint Content Extension 2.1.0 中添加的 Pulse 仪表板包含八个与勒索软件相关的窗口小部件:

  • 一个包含有关每个规则的受影响机器数的统计信息。
  • 一个包含有关每台机器的警报数的统计信息。
  • 六张表，表示攻击的六个阶段。

前两个窗口小部件包含每个阶段的所有规则:

WHERE (RULENAME(creEventList) IN ('Attempt to Delete Shadow Copies', 'Critical File Deleted (Unix)', 'RDP Hijacking Tool Detected', 'Recovery Disabled in Boot Configuration Data', 'Detection of Malicious File or Process', 'Detection of Malicious IOC', 'File Decode or Download followed by Suspicious Activity', 'Cobalt Strike Behaviour Detected', 'Excessive Failed Access to an Administrative Share from the Same Source', 'Excessive Nslookup Usage', 'Reconnaissance Tool Detected', 'Excessive File Deletion and Creation', 'Suspicious Amount of Files Renamed on the Same Machine (Windows)', 'Suspicious Amount of Files Renamed/Moved on the Same Machine (Unix)', 'Suspicious Amount of Files Deleted on the Same Machine') 
OR RULENAME(creEventList) MATCHES '.*(Ransomware|Maze|Bad Rabbit|Petya|REvil|Ryuk|WCry|Malware as a Service Hash IOC).*?')

下表列出了针对每个阶段包含的规则。

表 23. 针对每个攻击阶段包含的规则
阶段 规则
分布
  • 事件中的恶意软件即服务散列 IOC
  • 流中的恶意软件即服务散列 IOC
登台
  • 尝试删除影子副本
  • 已删除关键文件 (Unix)
  • 检测到 RDP 劫持工具
  • 在引导配置数据中禁用恢复
  • 勒索软件: R旭服务或流程终止
感染
  • 检测恶意文件或进程
  • 检测恶意 IOC
  • 文件解码或下载后跟可疑活动
  • 勒索软件: 事件中的 BadRabbit IOC
  • 勒索软件: BadRabbit IOC in Flows
  • 勒索软件 :Maze IOC in Events
  • 勒索软件: 事件中的 Petya/ NotPetya IOC
  • 勒索软件: 流中的 Petya/ NotPetya IOC
  • 勒索软件 :REvil IOC in Events
  • 勒索软件 :WCry IOC in Events
  • 勒索软件 :WCry IOC in Flows
  • 勒索软件 :WCry Payload in Flows
  • 在多台机器上检测到勒索软件 IOC
  • 勒索软件: 事件中的R旭 IOC
  • 勒索软件:R旭 IOC 在流中
  • 勒索软件加密文件扩展名
侦察
  • 检测到钴打击行为
  • 对来自同一源的管理共享的过多访问失败
  • 使用过多的 Nslookup
  • 检测到侦察工具
加密
  • 过多的文件删除和创建
  • 勒索软件加密文件扩展名
  • 勒索软件: 迷宫可疑文件传输
  • 在同一机器上删除的可疑文件量
  • 在同一机器上重命名的可疑文件量 (Windows)
  • 在同一机器上重命名/移动的可疑文件数 (Unix)
赎金通知 已创建勒索软件解密指令

(返回页首）

IBM Security QRadar 端点 2.0.0

下表显示了 IBM Security QRadar Endpoint Content Extension 2.0.0中的定制属性。

表 24. IBM 安全性 QRadar 端点内容扩展 2.0.0 中的定制属性
名称 已优化 找到位置
登录类型 是 Microsoft Windows
共享名称 是 Microsoft Windows
StartAddress 是 Microsoft Windows

下表显示了 IBM Security QRadar Endpoint 2.0.0中的规则和构建块。

表 25. IBM 安全性 QRadar 端点 2.0.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition:钴打击入站流量 当检测到已知是来自钴打击服务器的通信的 TLS 指纹时触发。
构建块 BB:BehaviorDefinition: 科博尔特罢工出境流量 检测到已知是来自钴攻击客户机的通信的 TLS 指纹时触发。
构建块 BB:BehaviorDefinition:钴打击端口用法 检测到端口 50050 上的出站 TCP 流量时触发。 这是用于与钴罢工服务器通信的缺省端口。
构建块 BB:BehaviorDefinition: Cobalt Strike 进程地址 当以 "0B80" 结尾的起始地址创建远程线程时触发。 此行为指示钴打击正在创建线程。
构建块 BB:BehaviorDefinition: 目录发现 (Unix) 定义运行用于发现大量目录的 Unix 命令的时间。 此规则检测到的命令为:
  • ls -d
  • find -type d
  • ls -r
构建块 BB:BehaviorDefinition: 目录发现 (Windows) 定义运行以递归方式发现目录的 PowerShell 的时间。 当使用 -recurse 参数运行 Get-ChildItem 函数，或在 ForEach 循环中使用该函数时，可能会出现这种情况。
构建块 BB:BehaviorDefinition: 文件创建和删除 检测 Windows 计算机上同一目录中的文件创建和文件删除事件，并可在规则中用于检测多个目录中的多个文件修改。
构建块 BB:BehaviorDefinition: PowerShell 文件上传活动 使用 PowerShell 上载文件时触发。
构建块 BB:BehaviorDefinition: 重复 nslookup 使用 重复使用 nslookup 时触发。 该阈值仍可被视为正常管理行为，需要与其他事件相关才能被视为异常。
构建块 BB:CategoryDefinition: 端点系统上的多个文件删除 在端点系统上删除多个非临时文件时触发。
构建块 BB:BehaviorDefinition:主机名或网络发现 执行主机名或网络发现操作时匹配。
构建块 BB:BehaviorDefinition: 常规端点管理 定义常规管理活动，例如用户管理，命令行中的下载文件以及具有提升特权的执行。
构建块 BB:BehaviorDefinition:可疑端点活动 定义可疑端点活动。
规则 尝试删除影子副本 运行用于删除影子副本的命令时触发。 恶意程序可以尝试使用 Windows Management Instrumentation 或 Vssadmin 来除去 Windows 创建的文件的快照。
规则 检测到钴攻击行为 检测到可能属于钴打击的行为时触发。 钴罢工是红队常用的渗透测试工具。 然而，恶意行为者经常使用非法获取的该应用程序版本进行攻击。
规则 已删除关键文件 (Unix) 检测何时删除关键文件或关键目录中的文件。 缺省情况下，将排除交换文件，并且也可以排除您不想监视的任何其他文件扩展名。

编辑 BB:CategoryDefinition: 具有敏感权限的文件 构建模块，添加要监控的文件或目录。 这些位置应该与引导，备份，日志记录或凭证相关，这些位置在利用时具有更高的严重性。
规则 检测恶意文件或进程 检测何时发现被视为恶意软件执行一部分的文件名或进程名称。 此规则正在监视以下文件或进程名称:
  • 米纳盖特
  • 内什塔
  • 杀手捕食者
  • NLBrute (NL)
  • EternalBlue
  • MimiKatz / MimiPenguin
规则 对来自同一源的管理共享的过多访问失败 观察到连续尝试访问管理共享失败后的触发器。
规则 过多的文件删除和创建 在多个目录中创建和删除大量文件时触发。 这可能指示存在类似 WCry 或 Samsam 的勒索软件，这些勒索软件在删除原始文件之前会创建文件的加密副本。
规则 通过 RDP 过量登录失败 当检测到来自单个源 IP 地址的 RDP 中同一机器上的多个失败认证事件时触发。 此行为指示用于访问机器的潜在暴力。
规则 通过 RDP 到多台机器的过多登录失败 在来自单个源 IP 地址的 RDP 中的不同机器上检测到多个失败的认证事件时触发。 此行为指示潜在的暴力尝试访问多台机器。
规则 过多的 Nslookup 用法 从同一机器执行 nslookup 命令的次数过多时触发。 此行为可能指示恶意参与者尝试收集有关要在其中渗透的网络的信息。
规则 已创建勒索软件解密指令 在机器上找到解密指令文件名时触发。 通常，勒索软件会创建解密指令文件，以向用户提供有关如何支付赎金以恢复其文件的指示信息。 此特定文件通常使用常见术语进行命名，例如: 解密，恢复，指示信息，如何使用等。
规则 勒索软件加密文件扩展名 检测到已知勒索软件文件扩展名时触发。 勒索软件通常会对文件进行加密，并在其过程中附加特定文件扩展名。 扩展的完整列表为 :aes_ni ， 1999 ， _23-06-2016-20-27-23_$f_tactics@aol.com$.legion， _crypt ， $centurion_legion@aol.com$.cbf ， 0x0， 34xxx， 3angle@india.com， 73i87a， 8lock8， aaa ， abc ，丙烯酰胺， aes_ni_0day， aes256， alcatraz ， arzamass7@163.com， bart.zip， better_call_saul ， 块卡托， btc ， btc-help-you ， btcbtcbtc ， btcware ， bugsecccc ， cazzo ， ccc ， cerber ， chifrator@qq_com ， clf ，代码， coverton ， crab ，犯罪， crinf ， crjoker ，哭泣， cryp1，加密，加密，加密，加密 blackdc ，加密，加密字节，加密盾， cryptotorlocker2015! Cryptowall ， cryptowin ， crysis ， ctb2， ctbl ， czvxce ， Darness ， darma ， dll555， don0t0uch7h!$cryptedfile， doked ， duhust ，dy集市 @qq_com_ryp ， ecc ， ecovector2@aol.com， ecrypt ， enc ， encedrsa ， enciphed ， encrypt ， encrypted ， encryptedaes ， encryptedfile ， encryptedrsa ， encryptile ， enigigma ， epic greg_blood@india.com， gruzin@qq_com ， gsupport ， gws ， ha3， hb15， helpdecrypt@ukr， hnyear ， hollycrypt ， html ， hush ，受感染， j ， johnycryptor@hackermail.com， justbtcwillhelpyou ， keybtc@inbox_com ， keyh0les， keyz ， kimcilware ， kimcilware.lechiffre， kkkhik ， korrektor ， b ， kraken ， kratos ， kimlol magic ， mecpt ， micro ， milarepa.lotos@aol.com， mol ， monstro ， mychemicalromance4ever， nalog@qq_com ， no.btc@protonmail.ch， no.btcw@protonmail.ch， no.xop@protonmail.ch，no几率， obfuscated ， omg! * ， only-we_can-help_you ， oor ， oplata@qq_com ， oshit ， p5tkjw， payb ， paybtcs ， paymds ， paymrts ， payms ， paymst ， paymts ， payransom ， payrms ， payrmts ，支付， pizda@qq_com ， poar2w， porno ， pornoransom ， purged ， pzdc ， r16m01d05， r4a， r5a siri-down@india.com， sport ， sql772@aol.com， supercrypt ，意外， systemdown@india.com， szf ， theva ， tombit@india.com， oxcrypt ， troyancoder@qq_com ， trun ， ttt * ， uk-dealer@sigaint.org， unlockit ， vault ， vegclass@aol.com， versiegelt ， vscrypt ， vvv ， wallet ， xdata ， xort ， xrnt ， xrtn ， xtbl ， xxx ， xyz ， zendr ， zendrz ， zepto ， zzz ， zzz ， zepto。
规则 在多台机器上检测到勒索软件 IOC 在五台或更多台不同机器上检测到勒索软件 IOC 时触发。 这表明勒索软件是在网络中成功传播的。
规则 勒索软件: BadRabbit IOC in Events 当观察到与 BadRabbit Ransomware 相关的 IOC (文件名，文件散列，主机名和 IP 地址) 时触发。
规则 勒索软件: BadRabbit IOC in Flows 当观察到与 BadRabbit Ransomware 相关的 IOC (文件名，文件散列，主机名和 IP 地址) 时触发。
规则 Ransomware: 事件中的迷宫 IOC 当观察到与 Maze Ransomware 相关的 IOC (文件名) 时触发。
规则 勒索软件: 迷宫可疑文件传输 检测到与 Maze 勒索软件数据泄露关联的文件传输时触发。
规则 Ransomware: 事件中的 Petya/ NotPetya IOC 当观察到与 Petya Ransomware 相关的 IOC (文件名，文件散列，主机名， IP 地址) 时触发。
规则 Ransomware: 流中的 Petya/ NotPetya IOC 当观察到与 Petya Ransomware 相关的 IOC (文件名，文件散列，主机名， IP 地址) 时触发。
规则 Rransomware: Flows 中的 Petya/ NotPetya 有效内容 在流中观察到 Petya 有效内容时触发。
规则 Ransomware: 事件中的 REvil IOC 当观察到与 REvil Ransomware (也称为 Sodinokibi 和 Sodin) 相关的 IOC (文件名) 时触发。
规则 勒索软件 :WCry IOC in Events 当观察到与 WCry Ransomware 相关的 IOC (文件名，文件散列，主机名， IP 地址) 时触发。
规则 勒索软件 :WCry IOC in Flows 当观察到与 WCry Ransomware 相关的 IOC (文件名，文件散列，主机名， IP 地址) 时触发。
规则 Ransomware: 流中的 WCry 有效内容 在流中观察到 WCry 有效内容时触发。
规则 检测到 RDP 劫持工具 创建可绕过 RDP 安全性的进程时触发。 受监视的工具包括:
  • ngrok ，可用于打开绕过防火墙的连接
  • tscon ，一种本机 Windows 工具，可用于截取另一个活动的 RDP 会话
规则 检测到侦察工具进程 在检测到部署勒索软件之前常用的发现工具时触发。 这些工具也可以被红队使用，并不是天生的危险，但是恶意参与者可以在攻击之前使用它们来调查一个环境。 已使用以下工具预填充规则:
  • BloodHound,及其数据挖掘工具 SharpHound,是一个应用程序，用于映射 Active Directory环境中的隐藏和非预期关系。 攻击者可以使用这些工具来轻松识别攻击路径。
  • PingCastle 是企业常用的工具，用于评估其 Active Directory的安全性。 恶意参与者可以使用此工具来检测环境中的漏洞。
  • 高级 IP 扫描程序是可用于远程控制环境中的设备的网络扫描程序。 此工具可在勒索软件攻击期间使用，以实现横向移动。
  • AdFind 是一个命令行 Active Directory 查询工具。 它可用于快速识别 Active Directory 配置中的薄弱点。
  • 所有内容 (或 ES) 都是一个搜索实用程序，允许更快地查找文件和文件夹。 此功能可使勒索软件收集有关所有文件和文件夹的信息，以便稍后进行加密。
  • Masscan 是一种端口扫描工具。 攻击者经常使用它来列出潜在易受攻击的端口。 这些工具也可以被红队使用，并不是天生的危险，但是恶意参与者可以在攻击之前使用它们来调查一个环境。
规则 在引导配置数据中禁用恢复 在引导配置数据中禁用恢复选项时触发。 这可能指示恶意参与者尝试禁用从勒索软件攻击恢复文件的能力。
规则 使用 findstr 搜索密码文件 (Windows) 使用 findstr 命令搜索字符串 password 时触发。 此行为可能指示恶意参与者搜索包含密码的文件。
规则 使用 grep 或 find 搜索密码文件 (Unix) 使用 grep 或 find 命令搜索字符串 password 时触发。 此行为可能指示恶意参与者在 Unix 系统上搜索包含密码的文件。
规则 使用 Select-String 搜索密码文件 (Windows) 使用 Select-String PowerShell 命令搜索字符串 password 时触发。 此行为可能指示恶意参与者搜索包含密码的文件。
规则 SharpHound PowerShell 检测到 运行 SharpHound PowerShell 脚本时触发。 脚本中使用的主要函数名为 invoke-BloodHound 。
规则 在同一机器上删除的可疑文件量 从大量不同文件夹中删除可疑数量的文件时触发。 这可能指示尝试中断服务或隐藏跟踪攻击。
规则 在同一机器上重命名的可疑文件量 (Windows) 当有可疑数量的文件从 PowerShell 重命名时触发。 这可能指示存在勒索软件，这些勒索软件通常在其过程中对文件进行加密和重命名。
规则 在同一机器上重命名/移动的可疑文件量 (Unix) 当使用 mv 命令重命名可疑数量的文件时触发。 这可能指示存在勒索软件，这些勒索软件通常在其过程中对文件进行加密和重命名。

下表显示了 IBM Security QRadar Endpoint 中的参考数据

表 26. IBM 安全性 QRadar 端点中的参考数据
类型 名称 描述
引用集 BadRabbit_FileHash 列出与 BadRabbit 勒索软件关联的文件散列。
引用集 BadRabbit_FileName 列出与 BadRabbit 勒索软件关联的文件名。
引用集 BadRabbit_Hostname 列出与 BadRabbit 勒索软件关联的主机名。
引用集 BadRabbit_IP 列出与 BadRabbit 勒索软件关联的 IP 地址。
引用集 Petya_File_Name 列出与 Petya/NotPetya 勒索软件相关的文件名。
引用集 Petya_FileHash 列出与 Petya/NotPetya 勒索软件相关的文件哈希值。
引用集 Petya_HostName 列出与 Petya/NotPetya 勒索软件相关的主机名。
引用集 Petya_IP 列出与 Petya/NotPetya 勒索软件相关的 IP 地址。
引用集 WCry_FileHash 列出与 WannaCry 勒索软件关联的文件散列。
引用集 WCry_FileName 列出与 WannaCry 勒索软件关联的文件名。
引用集 WCry_HostName 列出与 WannaCry 勒索软件关联的主机名。
引用集 WCry_IP 列出与 WannaCry 勒索软件关联的 IP 地址。

下表显示了 IBM Security QRadar Endpoint 中的已保存搜索

表 27. IBM 安全性 QRadar 端点中的已保存搜索
名称 描述
BadRabbit 事件 "DestinationIP" 最近 24 小时 显示具有已知 BadRabbit 目标 IP 地址的事件。
BadRabbit 事件 "FileHash" 最近 24 小时 显示具有已知 BadRabbit 文件散列的事件。
BadRabbit 事件 "主机名" 最近 24 小时 显示具有已知 BadRabbit 主机名的事件。
BadRabbit 事件 "SourceIP" 最近 24 小时 显示具有已知 BadRabbit 源 IP 地址的事件。
BadRabbit 流量 "DestinationIP" 最近 24 小时 显示具有已知 BadRabbit 目标 IP 地址的流。
BadRabbit 流量 "SourceIP" 最近 24 小时 显示具有已知 BadRabbit 源 IP 地址的流。
出站 UDP 流量 显示使用 UDP 的出站流。
Petya/NotPetya 事件 "DestinationIP" 最近 24 小时 显示具有已知 Petya/NotPetya 目标 IP 地址的事件。
Petya/NotPetya事件 "文件散列"过去 24 小时 显示已知Petya/NotPetya文件哈希值的事件。
Petya/NotPetya 事件 "SourceIP" 最近 24 小时 显示具有已知 Petya/NotPetya 源 IP 地址的事件。
Petya/NotPetya 流量 "DestinationIP" 最近 24 小时 显示具有已知 Petya/NotPetya 目标 IP 地址的流量。
Petya/NotPetya 流量 "SourceIP" 最近 24 小时 显示具有已知 Petya/NotPetya 源 IP 地址的流量。
Petya/NotPetya最近 24 小时的流量 显示与 Petya/NotPetya 关联的流量。
潜在勒索软件 (可疑活动，可能的 Petya ， NotPetya) 显示具有与 Ransomware 关联的可疑有效内容的流。
WannaCry 事件 "目标主机名" 过去 24 小时 显示具有已知 WannaCry 目标主机名的事件。
WannaCry 事件 "DestinationIP" 过去 24 小时 显示具有已知 WannaCry 目标 IP 地址的事件。
WannaCry 事件 "文件散列" 过去 24 小时 显示具有已知 WannaCry 文件散列的事件。
WannaCry 事件 "主机名" 过去 24 小时 显示具有已知 WannaCry 主机名的事件
WannaCry 事件 "源主机名" 过去 24 小时 显示具有已知 WannaCry 源主机名的事件。
WannaCry 事件 "SourceIP" 过去 24 小时 显示具有已知 WannaCry 源 IP 地址的事件。
WannaCry 活动 URL " 最近 24 小时 显示带有已知 WannaCry URL事件。
WannaCry 过去 24 小时内的流 显示与 WannaCry关联的流。

(返回页首）

IBM Security QRadar 端点 1.0.0

下表显示了 IBM Security QRadar Endpoint Content Extension 1.0.0中的定制属性。

表 28. IBM 安全性 QRadar 端点内容扩展 1.0.0 中的定制属性
名称 已优化 找到位置
应用程序 是 Linux
体系结构 是 Linux
审计标识 是 Linux
调用类型 是 Linux
命令参数 是 Linux
编码文件目录 是 Linux
编码文件名 是 Linux
文件目录 是
文件扩展名 是
文件许可权 是
文件名 是
组名 是
机器标识 是
MD5 散列 否
父进程名称 是
进程命令行 是
进程名称 是
进程路径 是
记录号 否 Linux
注册表键 是 Microsoft Windows
注册表值数据 是 Microsoft Windows
规则名 是 Microsoft Windows
SHA256 散列 是
目标用户名 是
令牌提升类型 是 Microsoft Windows
UrlHost 是
用户标识 是

下表显示了 IBM Security QRadar Endpoint 1.0.0中的规则和构建块。

表 29. IBM 安全性 QRadar 端点 1.0.0 中的规则和构建块
类型 名称 描述
构建块 BB:BehaviorDefinition: 已添加管理员权限 (Unix) 检测添加到标准用户的管理特权。 对手可能会升级其特权以进行进一步攻击。
构建块 BB:BehaviorDefinition: 已添加管理员权限 (Windows) 检测添加到标准用户的管理特权。 对手可能会升级其特权以进行进一步攻击。
构建块 BB:BehaviorDefinition: 已删除管理员权限 (Windows) 检测从超级用户组中除去的许可权。 对手可能会取消高特权以阻止管理员执行缓解操作。
构建块 BB:BehaviorDefinition: 组件对象模型劫持 检测组件对象模型 (COM) 劫持活动。 监视可更改以装入其他进程的注册表详细信息。 例如，已修改命令提示符以改为执行恶意 .exe 文件，然后创建进程。
构建块 BB:BehaviorDefinition: 组件对象模型劫持规则 通过监视 Windows 工具提示处理程序上的注册表修改，包含用于建立动态数据交换 (DDE) 对话的应用程序的密钥以及包含动态链接库 (DLL) 路径的密钥，检测组件对象模型 (COM) 劫持活动。
构建块 BB:BehaviorDefinition: 关键安全工具进程信息 检测审计消息何时将 "关键安全性工具" 的相关信息记录为对另一个信号所针对的 PID 的响应。
构建块 BB:BehaviorDefinition: 在事件中下载实用程序 检测何时在端点上使用下载实用程序，例如 ftp ， sftp ， curl ， cuteftp ， wget ， certutil ， bits 或 nc。
构建块 BB:BehaviorDefinition: 发现组或帐户 执行组或帐户发现操作时匹配。
构建块 BB:BehaviorDefinition: 已创建隐藏文件或文件夹 创建隐藏文件或文件夹时触发。 隐藏文件或文件夹可以采用三种格式:
  • 以点开头
  • 以点开头并包含空格
  • 基于许可权 (例如 -rwx ------)
构建块 BB:BehaviorDefinition: 密码策略发现 (Unix) 检测何时执行密码策略发现操作。 缺省情况下，此构建块正在监视以下文件:
  • /etc/login.defs
  • /etc/pam.d/common-password
  • /etc/pam.d/system-auth
  • /etc/security/pwquality.conf
构建块 BB:BehaviorDefinition: 密码策略发现 (Windows) 检测何时执行密码策略发现操作。
构建块 BB:BehaviorDefinition: PowerShell 文件下载活动 检测 PowerShell 是否用于下载文件。
构建块 BB:BehaviorDefinition: 进程被杀死 使用 kill 系统调用终止 Linux 进程时触发。
构建块 BB:BehaviorDefinition: 常规端点管理 定义常规管理活动，例如用户管理，命令行中的下载文件以及具有提升特权的执行。
构建块 BB:BehaviorDefinition: 以超级用户或其他用户身份运行 (Unix) 检测以 root 用户或其他用户身份运行的程序。
构建块 BB:BehaviorDefinition: 以超级用户或其他用户身份运行 (Windows) 检测以管理员身份或由其他用户运行的程序。
构建块 BB:BehaviorDefinition:可疑端点活动 定义可疑端点活动。
构建块 BB:BehaviorDefinition: 已添加用户帐户 (Unix) 检测何时创建用户帐户。
构建块 BB:BehaviorDefinition: 已添加用户帐户 (Windows) 检测何时创建用户或组帐户。
构建块 BB:BehaviorDefinition: 用户帐户已删除 (Unix) 检测何时删除用户帐户。
构建块 BB:BehaviorDefinition: 用户帐户已删除 (Windows) 检测何时删除用户或组帐户。
构建块 BB:CategoryDefinition: 实用程序的文件解码 检测何时使用实用程序对文件进行解码。
构建块 BB:CategoryDefinition: 文件权限已更改 检测何时执行了命令以更改分配给文件的许可权。
构建块 BB:CategoryDefinition:具有敏感权限的文件 定义不应更改其许可权的文件。 这可能会显示攻击者尝试阻止正常运行的行为。 缺省情况下，此构建块正在监视以下文件:
  • /boot/
  • /etc/pam.d/
  • /etc/shadow
  • /etc/passwd
  • /etc/rsyslog/
  • /etc/openldap/
  • /etc/sysconfig/syslog
  • /etc/syslog.conf
  • /etc/sysconfig/network-scripts/
  • /etc/default/ufw
  • /etc/sudoers
构建块 BB:DeviceDefinition: 操作系统 定义系统上的所有操作系统。
规则 与潜在的敌对主机进行通信 检测与潜在恶意主机 (按 X-force 分类或在参考集集合中) 的通信。
规则 与潜在恶意 IP 地址进行通信 检测具有潜在恶意 IP 地址的通信，按 X-force 分类或在引用集集合中进行分类。
规则 发现的凭证转储活动 在 Windows 注册表中检测到凭证转储活动时触发。 对手可以查询注册表以查找已存储以供其他程序或服务使用的凭证和密码，并利用这些凭证。 凭证转储活动包括但不限于:
  • 注册表扫描可由系统或其他程序使用的密码
  • 使用安全帐户管理器 (SAM) 进行散列转储
  • 修改 WDigest 注册表以允许以明文形式存储密码。

下面的 AQL 过滤条件指示此规则中实现的三个凭证转储方法。 可以使用这些 AQL 过滤器单独实现每种方法以进行调整。

  1. 对手可以通过扫描密码值来搜索注册表：当事件匹配到 LOWER("Process CommandLine") MATCHES 'reg\s+query.*password.*' 时，对手就可以搜索注册表 AQL 过滤器查询。
  2. 可以将注册表 hives 转储并由对手出于恶意目的进行渗透。 这是通过安全帐户管理器 (SAM) 进行凭证转储的迹象：当事件匹配 LOWER("Process CommandLine") MATCHES 'reg.*save.*(sam|system|security)' AQL 过滤查询时。
  3. 此注册表键修改强制 wdigest 在下次有人登录此系统时以纯文本形式存储凭证: 当事件匹配 LOWER (" Process CommandLine) MATCHES 'reg\s + (add|query). * uselogoncredential. *' 当事件与 LOWER ("Registry Key") MATCHES '\\system \\ (controlset001|controlset002|currentcontrolset) 匹配时， AQL 过滤器查询。* wdigest ' AQL 过滤器查询。
规则 已更改关键文件许可权 (Unix) 修改关键文件或目录的许可权时触发。 攻击者可以修改敏感文件的许可权，使其成为唯一能够访问该文件并继续进行破坏，数据破坏或禁用安全工具的用户。
注意：编辑 BB:CategoryDefinition:具有敏感权限的文件构建模块，并添加要监控的文件或目录。 这些位置应该与引导，备份，日志记录或凭证相关，这些位置在利用时具有更高的严重性。
规则 已终止的关键安全工具 (Unix) 检测关键安全进程何时终止。 对手可能会禁用安全工具以避免检测。
注: 此规则中包含的构建块使用 关键安全工具进程 参考集。 已使用公共安全工具进程名称预填充 关键安全工具进程 参考集。 使用组织使用的任何工具来调整引用集。
规则 关键安全工具已停止 修改关键文件或目录的许可权时触发。 攻击者可以修改敏感文件的许可权，使其成为唯一能够访问该文件并继续进行破坏，数据破坏或禁用安全工具的用户。
注: 已使用公共安全工具进程名称预填充 关键安全工具进程 参考集。 使用组织使用的任何工具来调整引用集。
规则 检测恶意 IOC 检测 IOC 何时在引用集集合中被归类为恶意。
规则 使用从右到左覆盖创建的文件 在创建的文件的名称中找到 从右到左覆盖 字符 (U+202E) 时触发。 在某些操作系统中，图形界面将处理此字符-反转文件名部分的显示顺序。
规则 使用文件名后的空间创建的文件 当文件名的最后一个字符是空格时触发。 这将强制操作系统确定文件的类型并相应地执行，即使似乎存在有效的文件扩展名。 例如，名为 info.txt 的 shell 脚本将作为文本文件打开，而 info.txt (注意名称后的空格) 将使用任何缺省程序处理 shell 脚本的方式打开。
规则 文件解码或下载后跟可疑活动 当使用诸如 certutil 之类的实用程序对文件进行解码时触发。 这可能指示恶意用户下载已编码的文件并对该文件进行解码以规避安全性。
规则 潜在组件对象模型 (COM) 劫持 检测潜在组件对象模型 (COM) 劫持活动。 攻击者可以通过劫持合法的 COM 引用来执行恶意代码。
规则 潜在 DLL 劫持 在创建或下载动态链接库 (DLL) 文件并由应用程序装入时触发。 这可能指示 DLL 搜索顺序劫持。
注: 排除要监视的进程以减少误报。
规则 潜在恶意应用程序回避 通过监视注册表修改来检测应用程序洋溢活动。 攻击者可以使用追溯兼容性功能来执行特权升级，安装后门等。 可以在以下位置找到定制数据库:
  • %WINDIR%\AppPatch\Custom
  • %WINDIR%\AppPatch\CustomSDB
  • %WINDIR%\AppPatch\AppPatch64\Custom
注: 使用缺省 Windows 安装程序安装的缺省 shim 来填充 Shims Allowlist 引用集。 使用任何定制 Shim 来调整此参考集。
规则 进程伪装 (Unix) 当进程从不应从其运行的目录执行时触发。 攻击者可以伪装合法进程以避免检测，从而从非合法进程执行恶意命令。
注: 调整此规则以包含或排除任何目录。
规则 进程伪装 (Windows) 从非合法目录执行敏感进程时触发。 攻击者可以伪装合法进程以避免检测，从而从非合法进程执行恶意命令。
注: 使用已知敏感进程填充 敏感进程名称 参考集。 使用要监视的进程来调整此参考集。 已使用敏感进程名称和目录预填充 缺省进程名称和进程目录 引用映射集。 使用敏感进程的缺省位置调整此参考数据。
规则 由可疑进程衍生的编程环境 当可疑进程催生编程环境时触发。 这可能指示攻击者尝试执行恶意脚本。
规则 建议的阻塞进程正在运行 检测在系统中运行的建议块进程。 Microsoft Windows 列出了建议的阻止规则，以禁用可能被攻击者利用并绕过 Windows Defender 应用程序控制的应用程序。
注: 建议的阻塞进程 参考集是使用 Microsoft 常用的应用程序预先填充的。 使用任何端点流程调整参考集以满足业务需求。
规则 可疑活动后跟端点管理任务 检测在同一机器上检测到可疑活动后执行的正常管理任务 (下载文件，更新用户权限，以其他用户身份运行等)。
规则 创建用户帐户后执行帐户删除 在短时间内创建并删除用户时触发。 这可能指示攻击者或恶意软件尝试通过使用不同的用户帐户来隐藏或逃避检测，或在系统上放置炸弹。

下表显示了 IBM Security QRadar Endpoint 1.0.0中的参考数据。

表 30. IBM 安全性 QRadar 端点 1.0.0 中的参考数据
类型 名称 描述
集合的引用映射 缺省进程名称和进程目录 此集合参考映射列出了敏感进程及其目录。
参考数据 Pulse_import "脉冲" 仪表板的一部分。
引用集 匿名 IP 列出标识的匿名 IP 地址。
引用集 僵尸网络 C&C IP 列出标识的僵尸网络命令和控制服务器 IP 地址。
引用集 僵尸网络 IP 列出标识的僵尸网络 IP 地址。
引用集 关键安全工具进程 列出关键安全工具。
引用集 恶意 URL 列出已识别的恶意 URL。
引用集 恶意软件散列 MD5 列出标识的 md5 恶意软件散列。
引用集 恶意软件散列 SHA 列出标识的 sha256 恶意软件散列。
引用集 恶意软件 IP 列出标识的恶意软件 IP 地址。
引用集 恶意软件 URL 列出标识的恶意软件 URL。
引用集 网络钓鱼 IP 列出标识的网络钓鱼 IP 地址。
引用集 钓鱼攻击 URL 列出已识别的钓鱼 URL。
引用集 建议的阻塞进程 列出建议阻止的进程。
引用集 敏感进程名称 列出敏感进程。
引用集 Shim 允许列表 列出应用程序洋溢注册表。

(返回页首）