pe3zx/crowdstrike-falcon-queriesUma coleção da Linguagem de Processamento de Pesquisa (SPL) do Splunk para Caça a Ameaças com CrowdStrike Falcon
Uma coleção de Search Processing Language (SPL) do Splunk para Threat Hunting com CrowdStrike Falcon
Desenvolvido e mantido pela equipe Intelligent Response, i-secure co., Ltd.
Esta consulta é inspirada na pesquisa do Red Canary. Para explicação em tailandês, consulte nosso blog.
Ideia:
NewExecutableRenamedTargetFileName no evento NewExecutableRenamed com um nome de arquivo disponível no campo ImageFileName no evento ProcessRollup2.ComputerName, timestamp, ImageFileName e CommandLine como colunas.event_simpleName="NewExecutableRenamed"
| rename TargetFileName as ImageFileName
| join ImageFileName
[ search event_simpleName="ProcessRollup2" ]
| table ComputerName SourceFileName ImageFileName CommandLine
Esta consulta é inspirada na pesquisa do Red Canary. Para explicação em tailandês, consulte nosso blog.
Ideia:
DnsRequest e NetworkConnectIP4. Vamos usar o evento DnsRequest nesta consulta.ContextProcessId do evento DnsRequest com TargetProcessId no evento ProcessRollup2.ComputerName, timestamp, ImageFileName e CommandLine como colunas.Como nossa consulta de caça exigia uma lista de binários/arquivos LOL conhecidos para filtragem, precisamos enumerar uma lista de arquivos disponíveis em LOLBAS-Project/LOLBas, o que pode ser feito simplesmente por uma expressão grep: grep -Poh "(?<=Name:\s)[A-Za-z0-9_-]+.exe$" OSBinaries/
event_simpleName="DnsRequest"
| rename ContextProcessId as TargetProcessId
| join TargetProcessId
[ search event_simpleName="ProcessRollup2" (FileName=Atbroker.exe OR FileName=Bash.exe OR FileName=Bitsadmin.exe OR FileName=Certutil.exe OR FileName=Cmd.exe OR FileName=Cmstp.exe OR FileName=Control.exe OR FileName=Cscript.exe OR FileName=Csc.exe OR FileName=Dfsvc.exe OR FileName=Diskshadow.exe OR FileName=Dnscmd.exe OR FileName=Esentutl.exe OR FileName=Eventvwr.exe OR FileName=Expand.exe OR FileName=Extexport.exe OR FileName=Extrac32.exe OR FileName=Findstr.exe OR FileName=Forfiles.exe OR FileName=Ftp.exe OR FileName=Gpscript.exe OR FileName=Hh.exe OR FileName=Ie4uinit.exe OR FileName=Ieexec.exe OR FileName=Infdefaultinstall.exe OR FileName=Installutil.exe OR FileName=Jsc.exe OR FileName=Makecab.exe OR FileName=Mavinject.exe OR FileName=Mmc.exe OR FileName=Msconfig.exe OR FileName=Msdt.exe OR FileName=Mshta.exe OR FileName=Msiexec.exe OR FileName=Odbcconf.exe OR FileName=Pcalua.exe OR FileName=Pcwrun.exe OR FileName=Presentationhost.exe OR FileName=Print.exe OR FileName=Regasm.exe OR FileName=Regedit.exe OR FileName=Register-cimprovider.exe OR FileName=Regsvcs.exe OR FileName=Regsvr32.exe OR FileName=Reg.exe OR FileName=Replace.exe OR FileName=Rpcping.exe OR FileName=Rundll32.exe OR FileName=Runonce.exe OR FileName=Runscripthelper.exe OR FileName=Schtasks.exe OR FileName=Scriptrunner.exe OR FileName=Sc.exe OR FileName=SyncAppvPublishingServer.exe OR FileName=Verclsid.exe OR FileName=Wab.exe OR FileName=Wmic.exe OR FileName=Wscript.exe OR FileName=Wsreset.exe OR FileName=Xwizard.exe) ]
| table ComputerName timestamp ImageFileName DomainName CommandLine
Esta consulta é inspirada na pesquisa do Red Canary. Para explicação em tailandês, consulte nosso blog.
Ideia:
DNSRequest ou NetworkConnectIP4; nesta consulta usaremos NetworkConnectIP4.ContextProcessId_decimal com TargetProcessId_decimal nos eventos ProcessRollup2.RemoteIP, RemotePort_decimal, ImageFileName, UserName e UserSid_readable.event_simpleName="NetworkConnectIP4"
| rename ContextProcessId_decimal as TargetProcessId_decimal
| join TargetProcessId_decimal
[ search event_simpleName=ProcessRollup2 ]
| table RemoteIP RemotePort_decimal ImageFileName UserName UserSid_readabl
Esta consulta é inspirada na pesquisa do Red Canary. Para explicação em tailandês, consulte nosso blog.
Ideia:
DNSRequest.ContextProcessId no DNSRequest com TargetProcessId nos eventos ProcessRollup2 e SyntheticProcessRollup2.TargetProcessId_decimal de Explorer.exe a partir do evento ProcessRollup2, e então unir com a sub-busca aninhada interna, responsável por encontrar PowerShell.exe que tenha o mesmo ParentProcessId_decimal que o TargetProcessId_decimal de Explorer.exe.ComputerName, timestamp, ImageFileName, DomainName e CommandLine.Esteja ciente de que sempre que ParentProcessId_decimal for usado, talvez seja necessário estender o escopo da busca por mais tempo que o normal. Porque alguns processos, especialmente processos do sistema, geralmente têm alto uptime, mas foram abusados recentemente.
event_simpleName="DnsRequest"
| rename ContextProcessId as TargetProcessId
| join TargetProcessId
[ search (event_simpleName="ProcessRollup2" OR event_simpleName="SyntheticProcessRollup2") AND FileName="explorer.exe"
| rename TargetProcessId_decimal as ParentProcessId_decimal
| join ParentProcessId_decimal
[ search event_simpleName="ProcessRollup2" FileName="powershell.exe" ]]
| table ComputerName timestamp ImageFileName DomainName CommandLine
Esta consulta é inspirada na pesquisa do MENASEC.
O CrowdStrike possui uma categoria de evento chamada RegSystemConfigValueUpdate para esse tipo de comportamento. No entanto, LastLoggedOnUser e LastLoggedOnSAMUser não são considerados uma configuração de sistema. Portanto, podemos encontrar uma tentativa de editar apenas RDP-Tcp\PortNumber.
event_simpleName="RegSystemConfigValueUpdate" AND RegObjectName="*\RDP-Tcp" AND RegValueName="PortNumber"
| rename RegNumericValue_decimal as "NewRDPPort"
| table timestamp, ComputerName, NewRDPPort
Esta consulta é inspirada na pesquisa do MENASEC
Nenhum evento relacionado a esta atividade