MSRPC-To-ATT&CK

Un repositorio que mapea los protocolos MSRPC de uso común a Mitre ATT&CK, proporcionando contexto sobre posibles indicadores de actividad, oportunidades de prevención e información relacionada con RPC.

Lista de protocolos MSRPC:

MITRE ATT&CK Navigator:

Enlace a Mitre Navigator

Contenido:

Cada documento contendrá información sobre lo siguiente:

Nombre del protocolo
UUID de la interfaz
Binario del servidor (dónde se almacena el código del servidor; si se carga en otro binario, entonces el nombre de la imagen del binario que cargó el código del servidor)
Endpoint (protocolo de transporte - ncacn_np y/o ncacn_ip_tcp)
Relación con ATT&CK
Indicador de actividad (IOA)
Oportunidades de prevención
- Los filtros RPC predeterminados mostrarán que el remote_user_token permitido para comunicarse a través de la interfaz son los Administradores de dominio (DA). Sin embargo, esta no es la mejor opción; cree un grupo específico para la acción que desea realizar y aplique ese SID al DACL dentro de la cadena SDDL. Esto proviene de una conversación que se tuvo con Andrew Robbins. Él sugiere restringir los inicios de sesión interactivos de los administradores de dominio en los controladores de dominio.
- Gran recurso para entender los filtros RPC: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
- Los filtros se probaron en un laboratorio, no en un entorno de producción. Pueden requerir ajustes. Proceda con precaución.
Notas
Recursos útiles

Reconocimiento:

Gracias a los siguientes por sus comentarios:

James Forshaw
Olaf Hartong
Red Canary's Detection Enablement Team

MSRPC-to-ATTACK

Más Populares

MSRPC-To-ATT&CK

Lista de protocolos MSRPC:

MITRE ATT&CK Navigator:

Contenido:

Reconocimiento: