MSRPC-To-ATT&CK

مستودع يربط بروتوكولات MSRPC شائعة الاستخدام بإطار Mitre ATT&CK مع توفير سياق حول المؤشرات المحتملة للنشاط، وفرص الوقاية، ومعلومات RPC ذات الصلة.

قائمة بروتوكولات MSRPC:

• MS-SCMR: Service Control Manager Remote Protocol
  • MS-SCMR.md
• MS-DRSR: Directory Replication Service Remote Protocol
  • MS-DRSR.md
• MS-RRP: Windows Remote Registry Remote Protocol
  • MS-RRP.md
• MS-TSCH: Task Scheduler Service Remoting Protocol
  • MS-TSCH.md
• MS-WKST: Workstation Service Remote Protocol
  • MS-WKST.md
• MS-SRVS: Server Service Remote Protocol
  • MS-SRVS.md
• MS-RPRN: Print System Remote Protocol
  • MS-RPRN.md
• MS-PAR: Print System Asynchronous Remote Protocol
  • MS-PAR.md
• MS-SAMR: Security Account Manager Remote Protocol
  • MS-SAMR.md
• MS-LSAD: Local Security Authority (Domain Policy) Remote Protocol
  • MS-LSAD.md
• MS-LSAT: Local Security Authority (Translation Methods) Remote Protocol
  • MS-LSAT.md
• MS-EFSR: Encrypting File System Remote (EFSRPC) Protocol
  • MS-EFSR.md
• MS-NRPC: Netlogon Remote Protocol
  • MS-NRPC.md
• MS-FSRVP: File Server Remote VSS Protocol
  • MS-FSRVP.md
• MS-DFSNM: Distributed File System (DFS): Namespace Management Protocol
  • MS-DFSNM.md

MITRE ATT&CK Navigator:

• رابط Mitre Navigator

المحتويات:

سيحتوي كل مستند على معلومات حول ما يلي:

• اسم البروتوكول
• UUID الواجهة
• الملف الثنائي للخادم (حيث يتم تخزين كود الخادم؛ إذا تم تحميله في ملف ثنائي آخر، فسيتم ذكر اسم صورة الملف الثنائي الذي حمّل كود الخادم.)
• نقطة النهاية (بروتوكول النقل - ncacn_np و/أو ncacn_ip_tcp)
• علاقة ATT&CK
• مؤشر النشاط (IOA)
• فرص الوقاية
  • ستُظهر عوامل تصفية RPC الافتراضية أن remote_user_token المسموح له بالتواصل عبر الواجهة هو Domain Admins (DA). ومع ذلك، ليس هذا هو أفضل مسار؛ أنشئ مجموعة مخصصة للإجراء الذي تريد تنفيذه وطبّق SID الخاص بها على DACL داخل سلسلة SDDL. جاء هذا من محادثة مع Andrew Robbins. وهو يقترح تقييد عمليات تسجيل الدخول التفاعلية لـ Domain Admins على وحدات التحكم بالمجال (DCs).
  • مورد رائع لفهم عوامل تصفية RPC: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • تم اختبار عوامل التصفية في بيئة مختبرية، وليس في بيئة إنتاج. قد تتطلب ضبطًا. توخَّ الحذر.
• ملاحظات
• موارد مفيدة

التقدير:

شكرًا للأشخاص التاليين على تقديم ملاحظاتهم:

• James Forshaw
• Olaf Hartong
• فريق تمكين الكشف في Red Canary