MSRPC-To-ATT&CK

一个将常用 MSRPC 协议映射到 MITRE ATT&CK 的仓库，同时提供有关潜在活动指标、防御机会和相关 RPC 信息的上下文。

MSRPC 协议列表：

• MS-SCMR：服务控制管理器远程协议
  • MS-SCMR.md
• MS-DRSR：目录复制服务远程协议
  • MS-DRSR.md
• MS-RRP：Windows 远程注册表远程协议
  • MS-RRP.md
• MS-TSCH：任务计划程序服务远程协议
  • MS-TSCH.md
• MS-WKST：工作站服务远程协议
  • MS-WKST.md
• MS-SRVS：服务器服务远程协议
  • MS-SRVS.md
• MS-RPRN：打印系统远程协议
  • MS-RPRN.md
• MS-PAR：打印系统异步远程协议
  • MS-PAR.md
• MS-SAMR：安全帐户管理器远程协议
  • MS-SAMR.md
• MS-LSAD：本地安全机构（域策略）远程协议
  • MS-LSAD.md
• MS-LSAT：本地安全机构（转换方法）远程协议
  • MS-LSAT.md
• MS-EFSR：加密文件系统远程（EFSRPC）协议
  • MS-EFSR.md
• MS-NRPC：Netlogon 远程协议
  • MS-NRPC.md
• MS-FSRVP：文件服务器远程 VSS 协议
  • MS-FSRVP.md
• MS-DFSNM：分布式文件系统（DFS）：命名空间管理协议
  • MS-DFSNM.md

MITRE ATT&CK Navigator：

• Mitre Navigator 链接

内容：

每个文档将包含以下相关信息：

• 协议名称
• 接口 UUID
• 服务器二进制文件（服务器代码存储的位置；如果它被加载到另一个二进制文件中，则为加载了服务器代码的二进制映像名称。）
• 端点（传输协议 - ncacn_np 和/或 ncacn_ip_tcp）
• ATT&CK 关联
• 活动指标（IOA）
• 预防机会
  • 默认的 RPC 筛选器会显示允许通过该接口通信的 remote_user_token 是域管理员（DA）。然而这并不是最佳途径；请创建一个特定于您要执行操作的组，并将该 SID 应用到 SDDL 字符串中的 DACL。这源于与 Andrew Robbins 的一次对话。他建议限制域管理员在 DC 上的交互式登录。
  • 了解 RPC 筛选器的优秀资源：https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html
  • 筛选器是在实验室环境中测试的，而非生产环境。它们可能需要进行调整。请谨慎操作。
• 备注
• 有用资源

致谢：

感谢以下人员提供反馈：

• James Forshaw
• Olaf Hartong
• Red Canary 的检测赋能团队