یک هشدار ساده که تبدیل به Incident شد...ساعت 02:17 بامداد، SIEM چندین رویداد *4625 (Failed Logon) را از یک سرور مالی ثبت کرد.
در نگاه اول چیز خاصی نبود؛ چند تلاش ناموفق برای ورود.
اما چند دقیقه بعد یک 4624 (Successful Logon) از همان Source IP مشاهده شد.
تحلیلگر SOC تصمیم گرفت بررسی را ادامه دهد...
در ادامه لاگها مشخص شد که بلافاصله پس از ورود موفق، یک رویداد 4672 (Special Privileges Assigned)* برای همان حساب ثبت شده است.یعنی کاربر با دسترسیهای سطح بالا وارد سیستم شده بود.
چند دقیقه بعد:
Event ID 4698یک Scheduled Task جدید ایجاد شد.سپس:
Event ID 4688فرآیند PowerShell اجرا شد.و در نهایت:
Event ID 4104Script Block Logging نشان داد که PowerShell با دستورات مشکوک برای دانلود و اجرای فایل از یک منبع خارجی اجرا شده است.در کمتر از ۱۰ دقیقه، مهاجم:
دسترسی گرفت دسترسی سطح بالا دریافت کرد Persistence ایجاد کرد اقدام به اجرای Payload نمود---
اگر بخواهیم این سناریو را به یک Correlation Rule تبدیل کنیم:4625 (Multiple Failed Logons)
4624 (Successful Logon)4672 (Privileged Logon)4698 (Scheduled Task Creation)4688 / 4104 (PowerShell Execution) Alert: Potential Initial Access + Persistence + Execution Chainنکته جالب اینجاست که هیچ Malware Detection یا EDR Alert خاصی وجود نداشت؛ تنها با کنار هم قرار دادن چند Event ID ویندوز میشد کل زنجیره حمله را مشاهده کرد.
@SOCLIB#SOC #ThreatHunting #DetectionEngineering #WindowsSecurity #Sysmon #BlueTeam #IncidentResponse #CyberSecurity #SIEM #Splunk
۳