蓝队视角:监控guest账号安全

admin 2022年1月10日08:13:29安全文章评论14 views564字阅读1分52秒阅读模式

起因

由于某次红蓝对抗,IT人员在终端安装了mysql测试环境,最终被利用提权,激活了guest账号,做进一步的横向渗透。

研究

激活windows账户时,会产生一条4738windows安全日志
需要关注的字段:
TargetUserName   被激活的用户名TargetSid     被激活的用户SID,该ID是唯一值

蓝队视角:监控guest账号安全

Windows用户改变成员组时,会产生一条4732的日志
重点关注字段:
MemberSid用户SID唯一值TargetUserName组名称

蓝队视角:监控guest账号安全

使用winlogbeat采集的日志样式:

蓝队视角:监控guest账号安全

Beat下载地址https://www.elastic.co/cn/beats/

蓝队视角:监控guest账号安全

配置文件加入如下即可落地到本地查看日志样式:
output.file:  path: "D:\"  filename: 1.log

结果

最终规则:
同时满足下面三个条件基本可以判断为异常行为,需要关注:
(事件ID 4738.TargetUserName == Guest
(事件ID 4732.TargetUserName == Administrators
(事件ID 4738.TargetSid  ==  (事件ID 4732.MemberSid
 
延申:是不是可以根据此规则再做拓展,改为用户创建并加入管理员组。

本文始发于微信公众号(NOVASEC):蓝队视角:监控guest账号安全

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年1月10日08:13:29
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  蓝队视角:监控guest账号安全 http://cn-sec.com/archives/495397.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: