• MS-WKST.md

Navigateur MITRE ATT&CK :

• Lien vers Mitre Navigator

Contenu :

Chaque document contiendra des informations sur les éléments suivants :

• Nom du protocole
• UUID d'interface
• Binaire du serveur (là où le code du serveur est stocké ; s'il est chargé dans un autre binaire, alors le nom de l'image binaire qui a chargé le code du serveur.)
• Point de terminaison (protocole de transport - ncacn_np et/ou ncacn_ip_tcp)
• Relation ATT&CK
• Indicateur d'activité (IOA)
• Opportunités de prévention
  • Les filtres RPC par défaut montreront que le remote_user_token autorisé à communiquer sur l'interface est celui des administrateurs de domaine (DA). Ce n'est cependant pas la meilleure approche ; créez un groupe spécifique à l'action que vous souhaitez entreprendre et appliquez ce SID au DACL dans la chaîne SDDL. Cela provient d'une conversation qui a eu lieu avec Andrew Robbins. Il suggère de restreindre les connexions interactives des administrateurs de domaine sur les contrôleurs de domaine.
  • Excellente ressource pour comprendre les filtres RPC : https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • Les filtres ont été testés dans un laboratoire, pas dans un environnement de production. Ils peuvent nécessiter un ajustement. Procédez avec prudence.
• Notes
• Ressources utiles

Remerciements :

Merci aux personnes suivantes pour leurs retours :

• James Forshaw
• Olaf Hartong
• L'équipe Detection Enablement de Red Canary