MSRPC-To-ATT&CK

일반적으로 사용되는 MSRPC 프로토콜을 Mitre ATT&CK에 매핑하고, 잠재적인 활동 지표, 예방 기회, 관련 RPC 정보에 대한 컨텍스트를 제공하는 저장소입니다.

MSRPC 프로토콜 목록:

• MS-SCMR: Service Control Manager Remote Protocol
  • MS-SCMR.md
• MS-DRSR: Directory Replication Service Remote Protocol
  • MS-DRSR.md
• MS-RRP: Windows Remote Registry Remote Protocol
  • MS-RRP.md
• MS-TSCH: Task Scheduler Service Remoting Protocol
  • MS-TSCH.md
• MS-WKST: Workstation Service Remote Protocol
  • MS-WKST.md
• MS-SRVS: Server Service Remote Protocol
  • MS-SRVS.md
• MS-RPRN: Print System Remote Protocol
  • MS-RPRN.md
• MS-PAR: Print System Asynchronous Remote Protocol
  • MS-PAR.md
• MS-SAMR: Security Account Manager Remote Protocol
  • MS-SAMR.md
• MS-LSAD: Local Security Authority (Domain Policy) Remote Protocol
  • MS-LSAD.md
• MS-LSAT: Local Security Authority (Translation Methods) Remote Protocol
  • MS-LSAT.md
• MS-EFSR: Encrypting File System Remote (EFSRPC) Protocol
  • MS-EFSR.md
• MS-NRPC: Netlogon Remote Protocol
  • MS-NRPC.md
• MS-FSRVP: File Server Remote VSS Protocol
  • MS-FSRVP.md
• MS-DFSNM: Distributed File System (DFS): Namespace Management Protocol
  • MS-DFSNM.md

MITRE ATT&CK 내비게이터:

• Mitre 내비게이터 링크

내용:

각 문서에는 다음 정보가 포함됩니다:

• 프로토콜 이름
• 인터페이스 UUID
• 서버 바이너리 (서버 코드가 저장된 위치. 다른 바이너리에 로드된 경우, 서버 코드를 로드한 바이너리 이미지의 이름.)
• 엔드포인트 (전송 프로토콜 - ncacn_np 및/또는 ncacn_ip_tcp)
• ATT&CK 관계
• 활동 지표 (IOA)
• 예방 기회
  • 기본 RPC 필터는 인터페이스를 통해 통신할 수 있는 remote_user_token이 도메인 관리자(DA)임을 보여줍니다. 그러나 이것이 최선의 방법은 아닙니다. 수행하려는 작업에 특정한 그룹을 만들고 SDDL 문자열 내의 DACL에 해당 SID를 적용하세요. 이 내용은 Andrew Robbins와의 대화에서 나온 것입니다. 그는 DC에서 도메인 관리자의 대화형 로그온을 제한할 것을 제안합니다.
  • RPC 필터를 이해하는 훌륭한 리소스: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • 필터는 프로덕션 환경이 아닌 실험실에서 테스트되었습니다. 튜닝이 필요할 수 있습니다. 주의해서 진행하세요.
• 참고 사항
• 유용한 리소스

감사의 말:

피드백을 주신 다음 분들께 감사드립니다:

• James Forshaw
• Olaf Hartong
• Red Canary's Detection Enablement Team