MSRPC-To-ATT&CK

Ein Repository, das häufig verwendete MSRPC-Protokolle auf Mitre ATT&CK abbildet und dabei Kontext zu potenziellen Aktivitätsindikatoren, Präventionsmöglichkeiten und zugehörigen RPC-Informationen liefert.

Liste der MSRPC-Protokolle:

MITRE ATT&CK-Navigator:

Mitre Navigator Link

Inhalt:

Jedes Dokument enthält Informationen zu den folgenden Punkten:

Protokollname
Interface-UUID
Server-Binärdatei (in der der Servercode gespeichert ist; wenn er in eine andere Binärdatei geladen wird, dann der Name des Binärabbilds, das den Servercode geladen hat.)
Endpunkt (Transportprotokoll – ncacn_np und/oder ncacn_ip_tcp)
ATT&CK-Beziehung
Aktivitätsindikator (IOA)
Präventionsmöglichkeiten
- Standard-RPC-Filter zeigen, dass das remote_user_token, dem die Kommunikation über die Schnittstelle erlaubt ist, Domain Admins (DA) sind. Dies ist jedoch nicht der beste Weg; erstellen Sie eine Gruppe, die spezifisch für die gewünschte Aktion ist, und wenden Sie diese SID auf die DACL innerhalb des SDDL-Strings an. Dies geht auf ein Gespräch mit Andrew Robbins zurück. Er empfiehlt, interaktive Anmeldungen von Domain Admins auf DCs einzuschränken.
- Ausgezeichnete Ressource zum Verständnis von RPC-Filtern: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
- Die Filter wurden im Labor getestet, nicht in einer Produktionsumgebung. Sie müssen möglicherweise angepasst werden. Seien Sie vorsichtig.
Hinweise
Nützliche Ressourcen

Danksagung:

Ein Dank an die folgenden Personen für ihr Feedback:

James Forshaw
Olaf Hartong
Red Canary's Detection Enablement Team

MSRPC-to-ATTACK

Beliebteste