Windows 威胁

支持：

Google SecOps SIEM

本文档概述了 Windows 威胁类别中的规则集、所需的数据源以及可用于调整这些规则集生成的提醒的配置。

这些规则集通过检测和提醒为您提供可立即采取行动的背景信息，指明应从端点提醒数据中进一步调查的内容。它们有助于增强安全事件监控和分类能力，让您能够专注于恶意且可采取行动的提醒以及事件（提醒的集合）。借助这些精心策划的分析，您可以优先响应端点提醒，为调查提供更多背景信息，并使用端点日志改进安全事件监控。

Windows 威胁类别中的规则集有助于使用端点检测和响应 (EDR) 日志识别 Microsoft Windows 环境中的威胁。此类别包括以下规则集：

异常 PowerShell：识别包含混淆技术或其他异常行为的 PowerShell 命令。
加密货币活动：与可疑加密货币相关的活动。
黑客工具：可免费获取的工具，可能会被视为可疑工具，但根据组织的使用情况，也可能是合法工具。
信息窃取工具：用于窃取凭据（包括密码、Cookie、加密货币钱包和其他敏感凭据）的工具。
初始访问：用于在具有可疑行为的机器上获得初始执行权限的工具。
合法但被滥用：已知会被滥用于恶意目的的合法软件。
Living off the Land (LotL) 二进制文件：Microsoft Windows 操作系统中内置的工具，可能会被威胁行动者滥用于恶意目的。
指定威胁：与已知威胁行动者相关的行为。
勒索软件：与勒索软件相关的活动。
RAT：用于提供对网络资产的远程命令和控制的工具。
安全态势降级：尝试停用或降低安全工具效力的活动。
可疑行为：一般可疑行为。
Mandiant 前线威胁：此规则集包含源自 Mandiant's 对全球活跃突发事件的调查和响应的规则。这些规则涵盖了常见的 TTP，例如通过脚本解释器执行 (T1059)、用户执行 (T1204) 和系统二进制代理执行 (T1218)。
Mandiant Intel 新兴威胁：此规则集包含源自 Mandiant Intelligence Campaigns and Significant Events 的规则，涵盖了 Mandiant 评估的具有高度影响力的地缘政治和威胁活动。这些活动可能包括地缘政治冲突、漏洞利用、网络钓鱼、恶意广告、勒索软件和供应链入侵。
端点提醒优先级排序：此规则集利用了之前在 Mandiant Automated Defense - Alert, Investigation & Prioritization 产品中提供的功能。此规则集可识别以下模式：
- 攻击进展：内部资产表现出多种入侵迹象，如果将这些迹象综合考虑，则系统被入侵的可能性会增加，因此应进行调查。
- 内部资产上的恶意软件：内部资产表现出恶意软件已到达文件系统的迹象，应进行调查。攻击者通常会在成功尝试利用漏洞后在文件系统上暂存恶意代码。
- 未经授权的黑客工具：内部资产表现出漏洞利用工具活动，表明系统遭到入侵。漏洞利用工具是公开提供的软件或黑客工具，可用于获取和扩大对系统的访问权限，攻击者和红队都会使用这些工具。如果系统或账号未明确授权使用这些工具，则应调查这些工具的使用情况。
- 异常进程行为：内部资产中以异常方式使用常见可执行文件是主机遭到入侵的有力迹象。应调查异常的“Living off the Land”行为的发生情况。

Mandiant Intel 新兴威胁规则集和端点提醒优先级排序规则集随 Google Security Operations 企业 Plus 版许可提供。

支持的设备和日志类型

本部分列出了每个规则集所需的数据。

Windows 威胁类别中的规则集已通过测试，并支持以下 Google SecOps 支持的 EDR 数据源：

Carbon Black (CB_EDR)
Microsoft Sysmon (WINDOWS_SYSMON)
SentinelOne CF (SENTINELONE_CF)
SentinelOne EDR (SENTINEL_EDR)
Crowdstrike Falcon (CS_EDR)

Windows 威胁类别中的规则集正在针对以下 Google SecOps 支持的 EDR 数据源进行测试和优化：

Tanium
Cybereason EDR (CYBEREASON_EDR)
Lima Charlie (LIMACHARLIE_EDR)
OSQuery
Zeek
Cylance (CYLANCE_PROTECT)

如果您使用不同的 EDR 软件收集端点数据，请与您的 Google SecOps 代表联系。

如需查看所有 Google SecOps 支持的数据源的列表，请参阅支持的默认解析器。

Windows 威胁类别所需的字段

以下部分介绍了 Windows 威胁类别中的规则集获得最大收益所需的特定数据。请确保您的设备已配置为将以下数据记录到设备事件日志中。

事件时间戳
主机名：运行 EDR 软件的系统的主机名。
主进程：当前正在记录的进程的名称。
主进程路径：当前运行进程在磁盘上的位置（如果可用）。
主进程命令行：进程的命令行参数（如果可用）。
目标进程：由主进程启动的派生进程的名称。
目标进程路径：目标进程在磁盘上的位置（如果可用）。
目标进程命令行：目标进程的命令行参数（如果可用）。
目标进程 SHA256\MD5：目标进程的校验和（如果可用）。这用于调整提醒。
用户 ID：主进程的用户名。

端点提醒优先级排序规则集

此规则集已使用以下 Google SecOps 支持的 EDR 数据源进行测试：

来自 MICROSOFT_GRAPH_ALERT log_type 的 Microsoft Defender for Endpoint 提醒
来自 SENTINELONE_ALERT log_type 的 SentinelOne Threats
来自 CS_EDR log_type 的 CrowdStrike Falcon Event_DetectionSummaryEvent 提醒

端点提醒优先级排序中使用的 UDM 字段

以下部分介绍了端点提醒优先级排序规则集所需的 UDM 字段数据。如果您通过创建自己的自定义解析器来修改默认解析器，请确保不要更改这些字段的映射。如果您更改了这些字段的映射方式，可能会影响此功能的行为。

UDM 字段名称	说明
`metadata.event_type`	标准化事件类型。
`metadata.product_name`	产品名称。
`security_result.detection_fields["externall_api_type"]`	用于过滤感兴趣事件的字段。
`security_result.threat_name`	供应商分配的威胁分类，例如恶意软件系列。
`security_result.category_details`	供应商特定的恶意软件类别
`security_result.summary`	提醒摘要。
`security_result.rule_name`	供应商提供的提醒名称。
`security_result.attack_details`	用于识别 Mitre ATT&CK 策略和技术。
`security_result.description`	提醒的简短说明。
`security_result.action`	控制措施采取的操作。
`principal.process.file.names`	运行进程的文件名。
`principal.process.file.full_path`	当前运行进程在磁盘上的位置（如果可用）。
`principal.process.command_line`	进程的命令行参数（如果可用）。
`principal.asset.hostname`	运行 EDR 软件的系统的主机名。
`principal.hostname`	运行 EDR 软件的系统的主机名。
`principal.user.userid`	主进程的用户名。
`target.file.full_path`	主账号与之交互的文件的名称。
`target.file.md5/sha256`	目标文件的校验和（如果可用）。

调整 Windows 威胁类别返回的提醒

您可以使用规则排除项来减少规则或规则集生成的检测数量。

规则排除项定义了用于排除事件的条件，以使其不被规则集或规则集中的特定规则评估。创建一个或多个规则排除项，以帮助减少检测数量。如需了解具体操作方法，请参阅配置规则排除项。

例如，您可以根据以下信息排除事件：

principal.hostname
principal.process.command_line
principal.user.userid