MSRPC-To-ATT&CK

Un repository che mappa i protocolli MSRPC di uso comune su Mitre ATT&CK, fornendo al contempo contesto su potenziali indicatori di attività, opportunità di prevenzione e informazioni RPC correlate.

Elenco dei protocolli MSRPC:

MITRE ATT&CK Navigator:

Link al Mitre Navigator

Contenuti:

Ogni documento conterrà informazioni su quanto segue:

Nome del protocollo
UUID dell'interfaccia
Binario del server (dove è memorizzato il codice del server; se viene caricato in un altro binario, allora il nome dell'immagine del binario che ha caricato il codice del server.)
Endpoint (protocollo di trasporto - ncacn_np e/o ncacn_ip_tcp)
Relazione ATT&CK
Indicatore di attività (IOA)
Opportunità di prevenzione
- I filtri RPC predefiniti mostreranno che il remote_user_token autorizzato a comunicare sull'interfaccia è Domain Admins (DA). Non è tuttavia la strada migliore da seguire; crea un gruppo specifico per l'azione che vuoi intraprendere e applica quel SID alla DACL all'interno della stringa SDDL. Questo deriva da una conversazione avuta con Andrew Robbins. Suggerisce di limitare gli accessi interattivi degli amministratori di dominio sui DC.
- Ottima risorsa per comprendere i filtri RPC: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
- I filtri sono stati testati in laboratorio, non in un ambiente di produzione. Potrebbero richiedere ottimizzazioni. Procedere con cautela.
Note
Risorse utili

Riconoscimenti:

Grazie alle seguenti persone per il feedback fornito:

James Forshaw
Olaf Hartong
Red Canary's Detection Enablement Team

MSRPC-to-ATTACK

Più Popolari