MITRE ATT&CK-Navigator:

• Mitre Navigator Link

Inhalt:

Jedes Dokument enthält Informationen zu den folgenden Punkten:

• Protokollname
• Interface-UUID
• Server-Binärdatei (in der der Servercode gespeichert ist; wenn er in eine andere Binärdatei geladen wird, dann der Name des Binärabbilds, das den Servercode geladen hat.)
• Endpunkt (Transportprotokoll – ncacn_np und/oder ncacn_ip_tcp)
• ATT&CK-Beziehung
• Aktivitätsindikator (IOA)
• Präventionsmöglichkeiten
  • Standard-RPC-Filter zeigen, dass das remote_user_token, dem die Kommunikation über die Schnittstelle erlaubt ist, Domain Admins (DA) sind. Dies ist jedoch nicht der beste Weg; erstellen Sie eine Gruppe, die spezifisch für die gewünschte Aktion ist, und wenden Sie diese SID auf die DACL innerhalb des SDDL-Strings an. Dies geht auf ein Gespräch mit Andrew Robbins zurück. Er empfiehlt, interaktive Anmeldungen von Domain Admins auf DCs einzuschränken.
  • Ausgezeichnete Ressource zum Verständnis von RPC-Filtern: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • Die Filter wurden im Labor getestet, nicht in einer Produktionsumgebung. Sie müssen möglicherweise angepasst werden. Seien Sie vorsichtig.
• Hinweise
• Nützliche Ressourcen

Danksagung:

Ein Dank an die folgenden Personen für ihr Feedback:

• James Forshaw
• Olaf Hartong
• Red Canary's Detection Enablement Team