Navegador MITRE ATT&CK:

• Link do Mitre Navigator

Conteúdos:

Cada documento conterá informações sobre o seguinte:

• Nome do Protocolo
• UUID da Interface
• Binário do Servidor (onde o código do servidor é armazenado; se ele for carregado em outro binário, o nome da imagem do binário que carregou o código do servidor.)
• Endpoint (protocolo de transporte - ncacn_np e/ou ncacn_ip_tcp)
• Relação com ATT&CK
• Indicador de Atividade (IOA)
• Oportunidades de Prevenção
  • Os Filtros RPC padrão mostrarão que o remote_user_token que é permitido se comunicar pela interface são os Administradores de Domínio (DA). No entanto, essa não é a melhor abordagem; crie um grupo específico para a ação que você deseja realizar e aplique esse SID à DACL dentro da string SDDL. Isso vem de uma conversa com Andrew Robbins. Ele sugere restringir logons interativos de administradores de domínio nos DCs.
  • Ótimo recurso para entender os Filtros RPC: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • Os filtros foram testados em laboratório, não em ambiente de produção. Eles podem exigir ajustes. Proceda com cautela.
• Notas
• Recursos Úteis

Agradecimentos:

Agradecemos às seguintes pessoas por fornecerem feedback:

• James Forshaw
• Olaf Hartong
• Red Canary's Detection Enablement Team