蓝队视角：监控guest账号安全

2022年1月10日08:13:29评论120 views字数 564阅读1分52秒阅读模式

起因

由于某次红蓝对抗，IT人员在终端安装了mysql测试环境，最终被利用提权，激活了guest账号，做进一步的横向渗透。

研究

激活windows账户时，会产生一条4738的windows安全日志

需要关注的字段：

TargetUserName   被激活的用户名TargetSid     被激活的用户SID，该ID是唯一值

蓝队视角：监控guest账号安全

Windows用户改变成员组时，会产生一条4732的日志

重点关注字段：

MemberSid用户SID唯一值TargetUserName组名称

蓝队视角：监控guest账号安全

使用winlogbeat采集的日志样式：

蓝队视角：监控guest账号安全

Beat下载地址https://www.elastic.co/cn/beats/

蓝队视角：监控guest账号安全

配置文件加入如下即可落地到本地查看日志样式：

output.file:  path: "D:\"  filename: 1.log

最终规则：

同时满足下面三个条件基本可以判断为异常行为，需要关注：

（事件ID 4738）.TargetUserName == Guest

（事件ID 4732）.TargetUserName == Administrators

（事件ID 4738）.TargetSid == (事件ID 4732）.MemberSid

延申：是不是可以根据此规则再做拓展，改为用户创建并加入管理员组。

本文始发于微信公众号（NOVASEC）：蓝队视角：监控guest账号安全