MSRPC-To-ATT&CK

Um repositório que mapeia protocolos MSRPC comumente usados para o Mitre ATT&CK, fornecendo contexto sobre possíveis indicadores de atividade, oportunidades de prevenção e informações relacionadas a RPC.

Lista de Protocolos MSRPC:

• MS-SCMR: Protocolo Remoto do Gerenciador de Serviços
  • MS-SCMR.md
• MS-DRSR: Protocolo Remoto do Serviço de Replicação de Diretório
  • MS-DRSR.md
• MS-RRP: Protocolo Remoto de Registro do Windows
  • MS-RRP.md
• MS-TSCH: Protocolo Remoto do Serviço do Agendador de Tarefas
  • MS-TSCH.md
• MS-WKST: Protocolo Remoto do Serviço de Estação de Trabalho
  • MS-WKST.md
• MS-SRVS: Protocolo Remoto do Serviço de Servidor
  • MS-SRVS.md
• MS-RPRN: Protocolo Remoto do Sistema de Impressão
  • MS-RPRN.md
• MS-PAR: Protocolo Remoto Assíncrono do Sistema de Impressão
  • MS-PAR.md
• MS-SAMR: Protocolo Remoto do Gerenciador de Contas de Segurança
  • MS-SAMR.md
• MS-LSAD: Protocolo Remoto da Autoridade de Segurança Local (Política de Domínio)
  • MS-LSAD.md
• MS-LSAT: Protocolo Remoto da Autoridade de Segurança Local (Métodos de Tradução)
  • MS-LSAT.md
• MS-EFSR: Protocolo Remoto do Sistema de Arquivos Criptografados (EFSRPC)
  • MS-EFSR.md
• MS-NRPC: Protocolo Remoto Netlogon
  • MS-NRPC.md
• MS-FSRVP: Protocolo Remoto VSS do Servidor de Arquivos
  • MS-FSRVP.md
• MS-DFSNM: Protocolo de Gerenciamento de Namespace do Sistema de Arquivos Distribuído (DFS)
  • MS-DFSNM.md

Navegador MITRE ATT&CK:

• Link do Mitre Navigator

Conteúdos:

Cada documento conterá informações sobre o seguinte:

• Nome do Protocolo
• UUID da Interface
• Binário do Servidor (onde o código do servidor é armazenado; se ele for carregado em outro binário, o nome da imagem do binário que carregou o código do servidor.)
• Endpoint (protocolo de transporte - ncacn_np e/ou ncacn_ip_tcp)
• Relação com ATT&CK
• Indicador de Atividade (IOA)
• Oportunidades de Prevenção
  • Os Filtros RPC padrão mostrarão que o remote_user_token que é permitido se comunicar pela interface são os Administradores de Domínio (DA). No entanto, essa não é a melhor abordagem; crie um grupo específico para a ação que você deseja realizar e aplique esse SID à DACL dentro da string SDDL. Isso vem de uma conversa com Andrew Robbins. Ele sugere restringir logons interativos de administradores de domínio nos DCs.
  • Ótimo recurso para entender os Filtros RPC: https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • Os filtros foram testados em laboratório, não em ambiente de produção. Eles podem exigir ajustes. Proceda com cautela.
• Notas
• Recursos Úteis

Agradecimentos:

Agradecemos às seguintes pessoas por fornecerem feedback:

• James Forshaw
• Olaf Hartong
• Red Canary's Detection Enablement Team