MSRPC-To-ATT&CK

一般的に使用されるMSRPCプロトコルをMITRE ATT&CKにマッピングし、潜在的なアクティビティの兆候、防止の機会、関連するRPC情報に関するコンテキストを提供するリポジトリです。

MSRPCプロトコルの一覧:

• MS-SCMR: Service Control Manager Remote Protocol
  • MS-SCMR.md
• MS-DRSR: Directory Replication Service Remote Protocol
  • MS-DRSR.md
• MS-RRP: Windows Remote Registry Remote Protocol
  • MS-RRP.md
• MS-TSCH: Task Scheduler Service Remoting Protocol
  • MS-TSCH.md
• MS-WKST: Workstation Service Remote Protocol
  • MS-WKST.md
• MS-SRVS: Server Service Remote Protocol
  • MS-SRVS.md
• MS-RPRN: Print System Remote Protocol
  • MS-RPRN.md
• MS-PAR: Print System Asynchronous Remote Protocol
  • MS-PAR.md
• MS-SAMR: Security Account Manager Remote Protocol
  • MS-SAMR.md
• MS-LSAD: Local Security Authority (Domain Policy) Remote Protocol
  • MS-LSAD.md
• MS-LSAT: Local Security Authority (Translation Methods) Remote Protocol
  • MS-LSAT.md
• MS-EFSR: Encrypting File System Remote (EFSRPC) Protocol
  • MS-EFSR.md
• MS-NRPC: Netlogon Remote Protocol
  • MS-NRPC.md
• MS-FSRVP: File Server Remote VSS Protocol
  • MS-FSRVP.md
• MS-DFSNM: Distributed File System (DFS): Namespace Management Protocol
  • MS-DFSNM.md

MITRE ATT&CK Navigator:

• Mitre Navigatorリンク

内容:

各ドキュメントには以下の情報が含まれます:

• プロトコル名
• インターフェースUUID
• サーバーバイナリ (サーバーコードが格納されている場所。別のバイナリに読み込まれる場合は、そのサーバーコードを読み込んだバイナリのイメージ名。)
• エンドポイント (トランスポートプロトコル - ncacn_np および/または ncacn_ip_tcp)
• ATT&CKとの関連
• アクティビティの兆候 (IOA)
• 防止の機会
  • デフォルトのRPCフィルターでは、インターフェースを介して通信できるremote_user_tokenはドメイン管理者(DA)であることが示されます。ただし、これは最善の方法ではありません。実行したいアクション専用のグループを作成し、そのSIDをSDDL文字列内のDACLに適用してください。これはAndrew Robbinsとの会話に基づいています。彼は、DC上でのドメイン管理者の対話的ログオンを制限することを提案しています。
  • RPCフィルターを理解するための優れたリソース: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • フィルターは本番環境ではなくラボ環境でテストされました。調整が必要になる場合があります。注意して進めてください。
• 注記
• 参考リソース

謝辞:

フィードバックを提供してくださった以下の方々に感謝します:

• James Forshaw
• Olaf Hartong
• Red CanaryのDetection Enablementチーム