部署网络分析|健康网络:Ransomware资源中心

分析的代码,我们可以使用它来匹配已知ransomware策略与实际事件在我们的系统和技术,作为一种萎靡不振的恶意活动。分析部署指南走过的过程中选择正确的为你的用例分析,使用它们来检测恶意活动在你的原始数据。使用分析表在这一过程中低于作为资源。

阅读分析部署指南

介绍和先决条件

这简短的指南被设计为一个快速起动器对那些不熟悉背后的共同策略分析网络事件数据和发现的威胁。本指南假定您已经做了准备工作在检测指南。这意味着你的团队训练,你知道哪些东西在你的网络是最敏感的,您已经创建了适当的白名单,和你有一个数量的传感器喂SIEM。

审查威胁情报

在部署分析之前,它有助于洞察当前威胁景观。我们有一个热点图使用的技术,最近ransomware威胁组。我们还创建了一个视图ATT&CK导航器中强调在ATT&CK ransomware软件记录所使用的策略。组织可以了解更多关于跟踪ransomware技术在一个正在进行的基础网络威胁情报资源的页面。

分析和检测

一旦日志持续流入SIEM,你知道你需要检测什么,你是准备做分析!分析有三种主要形式:

Alert-based调查

理想的至少一个传感器将安全alert-producing产品,比如一个功能或NIDS。这些传感器已经做了一些分析原始事件数据,并决定告诉你“我认为坏事会发生在这里,”而不是其他只是给你原始的传感器,分析数据。如果你有安全警报日志,你想开始。alert-based调查,将把人类分析师提醒的内容,决定她是否同意行为可疑,给她正常网络活动的理解。如果她决定它需要进一步调查,她将与其他日志关联警报SIEM提供给她,帮助漆更全面了解正在发生的事情。这就是为什么重要的是尽可能多的传感器,期间给尽可能多的背景调查。

狩猎

狩猎由细读你的日志,寻找任何可疑活动,不借助于任何自动报警。这通常是通过熟练,经验丰富的分析师一直训练也知道寻找和专家见解正常活动在你的网络是什么样子,准备阶段的结果。一些组织选择将不时在专门的团队去做这种类型的狩猎。狩猎是重要的,但在某种程度上,就像发现海里捞针,不知道针的样子。这应该不是你的主要经营方式。

二次自动化分析

当你EDR功能、防火墙和IDS可以产生一些安全警报,在许多情况下,它们只是猜测什么是不好的,会产生假阳性,他们将错过其他重大事件,因为他们每个人都只看到图片的一部分。每个安全产品是盲目的背景下,网络上其他地方正在发生的事情。当你有SIEM中所有的数据,你有机会进行更多的分析基于知识更有凝聚力。考虑到这一点,有许多机器分析,将通过SIEM中的数据解析和生成警报。编写自己的分析是完全适当的,但它也可以利用所有开放源码分析别人已经写,可能适用于您的网络。一些开放源码解析库包括:

参考健康网络分析表对于开源分析列表您可以使用提供的最大检测ransomware-related黑客技术在ATT&CK上市。你会发现许多分析都是可用的,它可能不是可行的部署它们。我们建议从那些覆盖关键技术,被当前ransomware利用高度组织的威胁。的照片的技术趋势,参考我们的Ransomware热图。

当你建立了或你想要收集分析,您将需要做的几件事情在你运行它们数据:

分析转换为使用你的数据模式,如果有必要的话)。
测试中的分析SIEM是否函数作为预期。
建立一个机制,通过你的分析提供数据。这种体系结构可以不同。一个流行的方法是每隔几分钟运行批处理作业:这种方法会把最新的原始数据在你SIEM和应用分析,任何结果吐到一个新的日志。
建立一个维护时间表,会提醒你定期审查,分析部署,并决定如果他们仍然相关。一些分析可以成为过时的技术和变化的威胁

走过我们的分析部署场景这一切是如何工作的一个例子!

分析部署场景

分析部署场景演示了如何应用方法论在部署指南。

已知的妥协或技术指标。在我们的场景中,我们已经意识到一个新的ransomware网络演员,WeWantYourCash。

“分析部署场景”PDF下载。

分析表

t<\"posts-table-below posts-table-controls\"lip>>"}" data-filters="{"tax_attack_technique":{"taxonomy":"attack_technique","heading":"ATTACK Technique","terms":[{"name":"CAR-2021-01-008","slug":"car-2021-01-008"},{"name":"T1007","slug":"t1007"},{"name":"T1012","slug":"t1012"},{"name":"T1027","slug":"t1027"},{"name":"T1036.005","slug":"t1036-005"},{"name":"T1041","slug":"t1041"},{"name":"T1047","slug":"t1047"},{"name":"T1053.005","slug":"t1053-005"},{"name":"T1059.001","slug":"t1059-001"},{"name":"T1059.003","slug":"t1059-003"},{"name":"T1059.005","slug":"t1059-005"},{"name":"T1078.002","slug":"t1078-002"},{"name":"T1078.003","slug":"t1078-003"},{"name":"T1091","slug":"t1091"},{"name":"T1095","slug":"t1095"},{"name":"T1105","slug":"t1105"},{"name":"T1106","slug":"t1106"},{"name":"T1107","slug":"t1107"},{"name":"T1110.001","slug":"t1110-001"},{"name":"T1112","slug":"t1112"},{"name":"T1133","slug":"t1133"},{"name":"T1134","slug":"t1134"},{"name":"T1140","slug":"t1140"},{"name":"T1204.002","slug":"t1204-002"},{"name":"T1218.001","slug":"t1218-001"},{"name":"T1218.010","slug":"t1218-010"},{"name":"T1218.011","slug":"t1218-011"},{"name":"T1222.001","slug":"t1222-001"},{"name":"T1490","slug":"t1490"},{"name":"T1518","slug":"t1518"},{"name":"T1543.003","slug":"t1543-003"},{"name":"T1547.001","slug":"t1547-001"},{"name":"T1548.002","slug":"t1548-002"},{"name":"T1552.001","slug":"t1552-001"},{"name":"T1553.002","slug":"t1553-002"},{"name":"T1562.001","slug":"t1562-001"}],"searchColumn":"hf_tax_attack_technique"},"tax_operating_system":{"taxonomy":"operating_system","heading":"Operating System","terms":[{"name":"Cloud","slug":"cloud"},{"name":"Experimental","slug":"experimental"},{"name":"Linux","slug":"linux"},{"name":"Mac","slug":"mac"},{"name":"Network","slug":"network"},{"name":"Proxy","slug":"proxy"},{"name":"Web","slug":"web"},{"name":"Windows","slug":"windows"}],"searchColumn":"hf_tax_operating_system"},"tax_source_repository":{"taxonomy":"source_repository","heading":"Source Repository","terms":[{"name":"CAR","slug":"car"},{"name":"Elastic","slug":"elastic"},{"name":"Sigma","slug":"sigma"},{"name":"Splunk","slug":"splunk"}],"searchColumn":"hf_tax_source_repository"}}" data-order="[[4, "desc"]]">

攻击技术	名称/标识	操作系统	源库	最后修改	心力衰竭:税收:attack_technique	心力衰竭:税收:operating_system	心力衰竭:税收:source_repository
T1047	WMImplant黑客工具 8028年c2c3 e25a - 46 e3 - 827 f - bbb5abf181d7	窗户	σ	2021年11月12日	t1047	窗户	σ
T1047	WMI持久性——脚本事件消费者 ec1d5e28 - 8 f3b - 4188 a6f8 e8df81dc28e——6	窗户	σ	2021年11月12日	t1047	窗户	σ
T1047	使用Rundll32可疑WMI执行 3 fba c89a1e8 - 0 - 449 - e - 8 f1b - 8409 d6267ec8	窗户	σ	2021年11月12日	t1047	窗户	σ
T1047	登录和WMI 5 af54681 df95 - 4 c26 - 854 f - 2565 e13cfab0	窗户	σ	2021年11月12日	t1047	窗户	σ
T1047	T1047 Wmiprvse Wbemcomn DLL劫持 f6c68d5f-e101-4b86-8c84-7d96851fd65c	窗户	σ	2021年11月12日	t1047	窗户	σ
T1047	UNC2452 PowerShell模式 b7155193 - 8 a81 - 4 - d8f - 805 d - 88 de864ca50c	窗户	σ	2021年11月12日	t1047	窗户	σ
T1041	检测SNICat SNI漏出 82 d06410 - 134 c - 11 - eb adc1 - 0242 ac120002	窗户	Splunk	2021年11月12日	t1041	窗户	splunk
T1041	通过进程创建DNSCat2 Powershell实现检测 b11d75d6 - d7c1 - 11 - ea - 87 d0 - 0242 ac130003	窗户	σ	2021年11月12日	t1041	窗户	σ
T1041	漏出和隧道工具执行 c75309a3-59f8-4a8d-9c2c-4c927ad50555	窗户	σ	2021年11月4日	t1041	窗户	σ
T1036.005	攻击者工具端点 a51bfe1a - 94 f0 - 48 - cc - b4e4 a110145893——16	窗户	Splunk	2021年11月4日	t1036 - 005	窗户	splunk
T1036.005	Windows进程可疑的父目录 96036718 - 71 cc - 4027 - a538 d1587e0006a7	窗户	σ	2021年11月4日	t1036 - 005	窗户	σ
T1036.005	常见的Windows进程伪装汽车- 2021 - 04 - 001	窗户	车	2021年11月4日	t1036 - 005	窗户	车
T1036.005	文件创建系统进程名称 d5866ddf-ce8f-4aea-b28e-d96485a20d3d	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1036.005	Flash播放器从可疑位置更新 4922 a5dd - 6743 4 - fc2 - 8 e81 - 144374280997	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1036.005	利用cve - 2015 - 1641 7993792 c - 5 - ce2 - 4475 a3db a3a5539827ef	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1036.005	拉撒路会话强盗 3 f7f5b0b - 5 - b16转椅- 476 c - a85f ab477f6dd24b	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1036.005	可疑Svchost过程 01 d2e2a1-5f09-44f7-9fc1-24faa7479b6d	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1036.005	可疑MsiExec目录 e22a6eb2-f8a5-44b5-8b44-a2dbd47b1144	窗户	σ	2021年的10月25日	t1036 - 005	窗户	σ
T1027	中发射.lnk文件 33339 be3 - 148 b - 4 - e16天af56 ad16ec6c7e7b	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	Certutil编码 e62a9f0c - ca1e 46 - b2 - 85 d5 a6da77f86d1a	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	应用白名单通过Dnx.exe绕过 81年ebd28b - 9607 - 4478 - bf06 - 974 ed9d53ed7	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	可执行的广告 b69888d4 - 380 c - 45 - ce - 9 - cf9 d9ce46e67821	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	可疑的XOR编码PowerShell命令行 bb780e0c - 16 - cf - 4383 - 8383 - 1 - e5471db6cf9	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	Visual Basic命令行编译器使用 7 b10f171-7f04-47c7-9fa2-5be43c76e535	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	萍十六进制IP 1 a0d4aba - 7668 - 4365 - 9 - ce4 d79ab088dfd——6	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	Python Py2Exe图片加载 cbb56d62 - 4060 - 40 - f7 - 9466 d8aaf3123f83	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	PowerShell Base64编码Shellcode 2 d117e49-e626-4c7c-bd1f-c3c0147774c8	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	RedMimicry Winnti剧本了文件 130 c9e58 - 28 - ac - 4 - f83 - 8574 - 0 - a4cc913b97e	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	代码完整性检查失败 470 ec5fa - 7 b4e - 4071 - b200 - 4 - c753100f49b	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	CrackMapExec PowerShell困惑 6 f8b3439-a203-45dc-a88b-abf57ea15ccf	窗户	σ	2021年10月21日	t1027	窗户	σ
T1027	二进制填充 95361 ce5 c891 - 4 b0a - 87 - ca - e24607884a96	Mac	σ	2021年10月21日	t1027	mac	σ
T1027	二进制填充 c52a914f-3d8b-4b2a-bb75-b3991e75f8ba	Linux	σ	2021年10月21日	t1027	linux	σ
T1012	操作Wocao活动 74 ad4314 - 482 e - 4 - c3e b237 - 3 - f7ed3b9ca8d	窗户	σ	2021年10月21日	t1012	窗户	σ
T1027	解码Base64编码的文本 e2072cab - 8 c9a - 459 b - b63c 40 - ae79e27031	Linux	σ	2021年10月21日	t1027	linux	σ
T1027	解码Base64编码的文本 719年c22d7 c11a - 4 f2c - 93 - a6 - 2 - cfdd5412f68	Mac	σ	2021年10月21日	t1027	mac	σ
T1007	主人发现命令汽车- 2016 - 03 - 001	Linux,Mac,窗户	车	2021年10月21日	t1007	linux mac windows	车
T1012	出口至关重要的注册表键值到一个文件 82880171 - b475 - 4201 b811 e9c826cd5eaa	窗户	σ	2021年10月21日	t1012	窗户	σ
T1012	出口注册表文件的关键 f0e53e89-8d22-46ea-9db5-9d4796ee2f8a	窗户	σ	2021年10月21日	t1012	窗户	σ
T1012	SysKey注册表键访问 9 a4ff3b8 - 6187 4 - fd2 - 8 e8b e0eae1129495	窗户	σ	2021年10月21日	t1012	窗户	σ
T1012	山姆注册表项处理请求 f8748f2c - 89直流- 4 - d95 afb0 - 5 - a2dfdbad332	窗户	σ	2021年10月21日	t1012	窗户	σ
T1007	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年9月10日	t1007	linux mac windows	车
T1007	查询注册表 970007 b7-ce32-49d0-a4a4-fbef016950bd	窗户	σ	2021年9月10日	t1007	窗户	σ
T1562.001	国防逃税和netsh禁用windows防火墙规则 4 b438734 - 3793 4 - fda bd42 ceeada0be8f9	窗户	弹性	2021年7月27日,	t1562 - 001	窗户	弹性
T1078.002	一个主机上同时登录汽车- 2013 - 02 - 008	Linux,Mac,窗户	车	2021年7月25日	t1078 - 002	linux mac windows	车
T1562.001	国防逃税监测报警删除 f772ec8a e182 - 483 c - 91 - d2 - 72058 - f76a44c	云	弹性	2021年7月25日	t1562 - 001	云	弹性
T1053.005	计划任务——FileAccess 汽车- 2020 - 09 - 001	窗户	车	2021年7月19日	t1053 - 005	窗户	车
T1053.005	通过Schtasks远程调度任务汽车- 2015 - 04 - 002	窗户	车	2021年7月19日	t1053 - 005	窗户	车
汽车- 2021 - 01 - 008	禁用UAC 汽车- 2021 - 01 - 008	窗户	车	2021年7月19日	汽车- 2021 - 01 - 008	窗户	车
T1548.002	UAC绕过汽车- 2019 - 04 - 001	窗户	车	2021年7月19日	t1548 - 002	窗户	车
T1548.002	通过装载库DLL注入汽车- 2013 - 10 - 002	窗户	车	2021年7月19日	t1548 - 002	窗户	车
T1547.001	罕见LolBAS命令行汽车- 2020 - 05 - 003	窗户	车	2021年7月19日	t1547 - 001	窗户	车
T1547.001	Reg。exe从命令Shell 汽车- 2013 - 03 - 001	窗户	车	2021年7月19日	t1547 - 001	窗户	车
T1547.001	自动运行的差异汽车- 2013 - 01 - 002	窗户	车	2021年7月19日	t1547 - 001	窗户	车
T1543.003	服务启动Cmd 汽车- 2014 - 05 - 002	窗户	车	2021年7月19日	t1543 - 003	窗户	车
T1543.003	通过服务远程启动可执行文件汽车- 2014 - 03 - 005	窗户	车	2021年7月19日	t1543 - 003	窗户	车
T1543.003	服务二进制文件的修改汽车- 2014 - 02 - 001	窗户	车	2021年7月19日	t1543 - 003	窗户	车
T1543.003	服务异常可执行文件汽车- 2013 - 09 - 005	窗户	车	2021年7月19日	t1543 - 003	窗户	车
T1543.003	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月19日	t1543 - 003	linux mac windows	车
T1543.003	自动运行的差异汽车- 2013 - 01 - 002	窗户	车	2021年7月19日	t1543 - 003	窗户	车
T1518	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月19日	t1518	linux mac windows	车
T1490	BCDEdit故障恢复修改汽车- 2021 - 05 - 003	窗户	车	2021年7月19日	t1490	窗户	车
T1490	检测通过Vssadmin.exe影子复制删除汽车- 2021 - 01 - 009	窗户	车	2021年7月19日	t1490	窗户	车
T1490	影子复制删除汽车- 2020 - 04 - 001	窗户	车	2021年7月19日	t1490	窗户	车
T1222.001	访问权限修改汽车- 2019 - 07 - 001	Linux,Mac,窗户	车	2021年7月19日	t1222 - 001	linux mac windows	车
T1218.011	RunDLL32。exe监控汽车- 2014 - 03 - 006	窗户	车	2021年7月19日	t1218 - 011	窗户	车
T1218.010	Squiblydoo 汽车- 2019 - 04 - 003	窗户	车	2021年7月19日	t1218 - 010	窗户	车
T1218.010	通用Regsvr32 汽车- 2019 - 04 - 002	窗户	车	2021年7月19日	t1218 - 010	窗户	车
T1218.001	编辑HTML访问汽车- 2020 - 11 - 009	窗户	车	2021年7月19日	t1218 - 001	窗户	车
T1204.002	批处理文件写入System32系统汽车- 2021 - 05 - 002	窗户	车	2021年7月19日	t1204 - 002	窗户	车
T1140	CertUtil与解码参数汽车- 2021 - 05 - 009	窗户	车	2021年7月19日	t1140	窗户	车
T1134	添加SID历史活动目录对象 2632954 e - db1c - 49 - cb - 9936 - 67 - d1ef1d17d2	窗户	σ	2021年7月19日	t1134	窗户	σ
T1134	检测可能的腐烂的马铃薯 6 c5808ee - 85 - a2 - 4 - e56 - 8137 - 72 - e5876a5096	窗户	σ	2021年7月19日	t1134	窗户	σ
T1134	Meterpreter或钴罢工得到系统服务开始 15619216 - e993 - 4721 b590 c520615a67d——4	窗户	σ	2021年7月19日	t1134	窗户	σ
T1134	Meterpreter或钴罢工得到系统服务安装 843544 a7-56e0-4dcc-a44f-5cc266dd97d6	窗户	σ	2021年7月19日	t1134	窗户	σ
T1133	登录失败从公共IP f88e112a-21aa-44bd-9b01-6ee2a2bbbed1	窗户	σ	2021年7月13日	t1133	窗户	σ
T1112	非法访问用户内容通过PowerSploit模块 01 fc7d91 eb0c - 478 e - 8633 e4fa4904463a	窗户	Splunk	2021年7月13日	t1112	窗户	splunk
T1112	可疑的系统。绘制负载 666 ecfc7 - 229 d - 42 - b8 - 821 e - 1 - a8f8cb7057c	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	屏幕截图,macOS 0877年ed01 da46 - 4 c49 - 8476 d49cdd80dfa7	Linux	σ	2021年7月13日	t1112	linux	σ
T1112	FodHelper UAC绕过 909年f8fd8-7ac8-11eb-a1f3-acde48001122	窗户	Splunk	2021年7月13日	t1112	窗户	splunk
T1112	Revil注册表项 e3d3f57a-c381-11eb-9e35-acde48001122	窗户	Splunk	2021年7月13日	t1112	窗户	splunk
T1112	可疑Reg exe进程 a6b3ab4e - dd77 - 4213 - 95 - fa - fc94701995e0	窗户	Splunk	2021年7月13日	t1112	窗户	splunk
T1112	常见注册持久性改变 54902 e45 - 3467 - 49 - abc - 529 f2c8cfb80 a4 - 8	窗户	弹性	2021年7月13日	t1112	窗户	弹性
T1112	OceanLotus注册活动 4 ac5fc44 a601 - 4 c06 - 955 b - 309 df8c4e9d4	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	可疑VBoxDrvInst。exe参数 b7b19cb6 - 9 - b32 4 - fc4 a108 - 73 f19acfe262	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	没有权利的注册或Powershell的使用 8 f02c935-effe-45b3-8fc9-ef8696a9e41d	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	DNS ServerLevelPluginDll安装 e61e8a88 - 59 - a9 - 451 - c - 874 e - 70 fcc9740d67	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	NetNTLM降级攻击 d67572a0-e2ec-45d6-b8db-c100d14b8ef2	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	禁用安全事件日志添加MiniNt Reg关键 919年f2ef0-be2d-4a7a-b635-eb2b41fde044	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	Sysmon通道引用删除 18 beca67-ab3e-4ee3-ba7a-a46ca8d7d0cc	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	清除潜在的COM劫持注册表键 96年f697b0 b499 - 4 e5d - 9908 a67bec11cdb6	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	DHCP Callout DLL安装 9 d3436ef - 9476 4 - c43 acca - 90 ce06bdf33a	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	从一个文件中修改注册表 5 f60740a f57b - 4 e76 - 82 - a1 - 15 - b6ff2cb134	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	从文件导入注册表键 73年bba97f a82d - 42 - ce - b315 - 9182 e76c57b1	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	蓝色只知更鸟》 c3198a27-23a0-4c2c-af19-e5328d49680e	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	修改注册表从一个广告 77946 e79 - 97 - f1 - 45 - a2 - 84 - b4 - f37b5c0d8682	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	RDP注册表修改 41904电子束曝光d56c - 4904 b9ad a77bdf154b3——7	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	持续的前景登陆页面 ddd171b5 - 2 - cc6 - 4975 - 9 - e78 f0eccd08cc76	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	进口注册表键从一个广告 0 b80ade5 - 6997 4 - b1d - 99 a1 - 71701778 ea61	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	远程注册表管理使用Reg实用程序 68 fcba0d - 73 a5 - 475 e - a915 e8b4c576827e	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	ShimCache冲洗 b0524451 - 19 - af - 4 -电弧炉- a46f - 562 a977f792e	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	Wdigest CredGuard注册表修改 1 a2d6c47 - 75 - b0 - 45 - bd - b133 - 2 - c0be75349fd	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	运行一次任务执行中的配置注册表 198 effb6 - 6 - c98 4 - d0c - 9 - ea3 - 451 fa143c45c	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	FlowCloud恶意软件 5118765 f - 6657 - 4 - ddb a487 d7bd673abbf1	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	运行一次任务配置注册表 c74d7efc - 8826 - 45 - d9 b8bb f04fac9e4eff	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	可疑的新打印机端口注册(cve - 2020 - 1048) 7 ec912f2 - 5175 - 4868 - b811 ec13ad0f8567	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	Wdigest启用使用登录 d6a9b252 c666 - 4 de6 - 8806 - 5561 - bbbd3bdc	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	持续的前景登陆页面 487年bb375-12ef-41f6-baae-c6a1572b4dd1	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	RDP敏感设置改变 171 b67e1 - 74 - b4 - 460 - e - 8 - d55 b331f3e32d67	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	注册表条目Azorult恶意软件 f7f9ab88 - 7557 - 4 - a69 b30e - 0 - a8f91b3a0e7	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	Ursnif 21 f17060 b282 - 4249 ade0 - 589 ea3591558	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	办公室安全设置更改 a166f74e bf44 - 409 d - b9ba ea4b2dd8b3cd	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	RedMimicry Winnti剧本注册表操作 5 b175490-b652-4b02-b1de-5b5b4083c5f8	窗户	σ	2021年7月13日	t1112	窗户	σ
T1112	远程注册表汽车- 2014 - 11 - 005	窗户	车	2021年7月13日	t1112	窗户	车
T1112	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月13日	t1112	linux mac windows	车
T1112	自动运行的差异汽车- 2013 - 01 - 002	窗户	车	2021年7月13日	t1112	窗户	车
T1110.001	大量的失败登录从单一来源 7 f398cfb - 918 d - 41 - f4 - 8 db8 - 2 - e2474e02222	实验	Splunk	2021年7月13日	t1110 - 001	实验	splunk
T1107	安全删除SDelete 39 a80702 d7ca - 4 - a83 b776 - 525 b1f86a36d	窗户	σ	2021年7月13日	t1107	窗户	σ
T1107	思科文件删除 71年d65515 - c436 - 43 - c0 - 841 b - 236 b1f32c21e	网络	σ	2021年7月13日	t1107	网络	σ
T1107	备份目录删除 9703792 d - fd9a - 456 d - a672 ff92efe4806a	窗户	σ	2021年7月13日	t1107	窗户	σ
T1106	通过PowerSploit非法服务和过程控制模块 0 e910e5b - 309 d - 4 - 0030 - c02aa353 bc3 - 8 af2 -	窗户	Splunk	2021年7月13日	t1106	窗户	splunk
T1106	通过Mimikatz非法服务和过程控制模块 aaf3adf1 - 73 e1 - 4477 - b4ee - 3771898964 - f1	窗户	Splunk	2021年7月13日	t1106	窗户	splunk
T1106	可疑SolarWinds子进程 b22c0a 93 - 06 - a0 - 4131 b830 b10d5e166ff4	窗户	弹性	2021年7月13日	t1106	窗户	弹性
T1106	访问WinAPI PowerShell 03 d83090-8cba-44a0-b02f-0b756a050306	窗户	σ	2021年7月13日	t1106	窗户	σ
T1106	可能应用白名单旁路通过WinDbg /国开行作为跑Shellcode b5c7395f e501 - 4 a08 - 94 - d4 - 57 - fe7a9da9d2	窗户	σ	2021年7月13日	t1106	窗户	σ
T1106	RedMimicry Winnti剧本执行 95022 b85 - ff2a - 49 - fa - 939 - a - d7b8f56eeb9b	窗户	σ	2021年7月13日	t1106	窗户	σ
T1105	下载文件使用电报 58194 e28 - ae5e - 11 - eb - 8912 acde48001122	窗户	Splunk	2021年7月13日	t1105	窗户	splunk
T1105	可疑的旋度网络连接 3 f613dc0 - 21 - f2 - 4063 - 93 - b1 - 5 - d3c15eef22f	实验	Splunk	2021年7月13日	t1105	实验	splunk
T1105	办公室产品产卵CertUtil 6925年fe72-a6d5-11eb-9e17-acde48001122	窗户	Splunk	2021年7月13日	t1105	窗户	splunk
T1105	BITSAdmin下载文件 80630 ff4-8e4c-11eb-aab5-acde48001122	窗户	Splunk	2021年7月13日	t1105	窗户	splunk
T1105	CertUtil下载VerifyCtl和分离参数 801年ad9e4-8bfb-11eb-8b31-acde48001122	窗户	Splunk	2021年7月13日	t1105	窗户	splunk
T1105	CertUtil下载URLCache和分离参数 415年b4306 - 8 bfb - 11 - eb - 85 - c4 - acde48001122	窗户	Splunk	2021年7月12日	t1105	窗户	splunk
T1105	指挥和控制从互联网下载RAR Powershell ff013cb4 - 274 d - 434 a - 96 - bb - fe15ddd3ae92	网络	弹性	2021年7月12日	t1105	网络	弹性
T1105	苹果脚本执行网络连接 47 f76567-d58a-4fed-b32b-21f571e28910	Mac	弹性	2021年7月12日	t1105	mac	弹性
T1105	执行命令提示符连接到互联网 89 f9a4b0 - 9 - f8f 4 ee0 - 8823 c4751a6d6696	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	通过PowerShell远程文件下载 33 f306e8 - 417 - c - 411 - b - 965 - c - c2812d6d3f4d	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	通过MpCmdRun远程文件下载 c6453e73 - 90 eb - 4 - fe7 a98c cde7bbfc504a	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1078.003	用户帐户锁定检测过度 95年a7f9a5 - 6096 - 437 - e - a19e - 86 f42ac609bd	Mac	弹性	2021年7月12日	t1078 - 003	mac	弹性
T1091	外部磁盘驱动器或USB存储设备 f69a87ea - 955 e - 4 - fb4 adb2 bb9fd6685632	窗户	σ	2021年7月12日	t1091	窗户	σ
T1095	可疑的C2活动 f7158a64 - 6204 - 4 - d6d - 868 a - 6 e6378b467e0	Linux	σ	2021年7月12日	t1095	linux	σ
T1095	检测大型出站ICMP数据包 e9c102de - 4 d43 - 42 - a7 - b1c8 - 8062 ea297419	实验	Splunk	2021年7月12日	t1095	实验	splunk
T1105	可疑的参数汽车- 2013 - 07 - 001	Linux,Mac,窗户	车	2021年7月12日	t1105	linux mac windows	车
T1105	BITSAdmin下载文件汽车- 2021 - 05 - 005	窗户	车	2021年7月12日	t1105	窗户	车
T1105	CertUtil下载URLCache和分离参数汽车- 2021 - 05 - 006	窗户	车	2021年7月12日	t1105	窗户	车
T1105	CertUtil下载VerifyCtl和分离参数汽车- 2021 - 05 - 007	窗户	车	2021年7月12日	t1105	窗户	车
T1105	远程文件复制 7 a14080d a048 - 4 - de8 ae58 - 604 ce58a795b	Linux	σ	2021年7月12日	t1105	linux	σ
T1105	Windows更新客户端LOLBIN d7825193-b70a-48a4-b992-8b5b3015cc11	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	微软二进制可疑通信端点 e0f8ab85 - 0 - ac9 - 423 b - a73a - 81 b3c7b1aa97	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	MsiExec Web安装 f7b5f842-a6af-4da5-9e95-e32478f3cd2f	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	思科阶段数据 5 e51acb2 bcbe - 435 b - 99 c6 - 0 - e3cd5e2aa59	网络	σ	2021年7月12日	t1105	网络	σ
T1105	流行的注册表键 47 e0852a cf81 - 4494 a8e6 f8c86ed——31864	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	旋度开始组合 21 dd6d38 - 2的energisk b18 - 4453 - 9404 - a0fe4a0cc288	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	手指。exe可疑的调用 af491bca-e752-4b44-9c86-df5680533dbc	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	恶意负载通过办公室下载二进制文件 0 c79148b - 118 - e - 472 - b - bdb7 b57b444cc19——9	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	Windows防火墙下载活动 46123129 - 1024 - 423 - e - 9 -工程师- 43 - af4a0fa9a5	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	可疑的旋度在Windows上使用 e218595b-bbe7-4ee5-8a96-f32a24ad3468	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	PowerShell下载文件 8 f70ac5f-1f6f-4f8e-b454-db19561216c5	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	可执行的Webdav aac2fd97 bcba - 491 b - ad66 a6edf89c71bf	网络	σ	2021年7月12日	t1105	网络	σ
T1105	GfxDownloadWrapper。exe文件从下载可疑的URL eee00933-a761-4cd0-be70-c42fe91731e7	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	微软二进制Github沟通 635年dbb88 - 67 - b3 - 4 - b41 9 - ea5 a3af2dd88153	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	可疑的桌面图片下载目标文件 fc4f4817 - 0 - c53 - 4683 a4ee b17a64bc1039	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	命令行执行可疑的URL和AppData字符串 1 ac8666b - 046 f - 4201 - 8 -阿坝- 1951 aaec03a3	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	复制从管理分享 855 bc8b5 - 2 ae8 - 402 e - a9 b889e6df1900	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	可疑的Certutil命令 e011a729 - 98 - a6 - 4139 - b5c4 bf6f6dd8239a	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	Greenbug活动指标 3711年eee4 a808 faf733da3612——4849 - 8阿	窗户	σ	2021年7月12日	t1105	窗户	σ
T1105	从可疑Dyndns下载主机 195 c1119 - ef07 - 4909 bb12 e66f5e07bf3c	代理	σ	2021年7月12日	t1105	代理	σ
T1105	通过TeamViewer远程文件拷贝 b25a7df2 - 120 a - 4 - db2 - bd3f - 3 - e4b86b24bee	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	远程文件下载通过脚本解释器 1 d276579 - 3380 - 4095 - ad38 e596a01bc64f	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	远程文件通过桌面图片下载工具下载 15 c0b7a7 - 9 - c34 - 4869 b25b fa6518414899	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	网络连接通过Certutil 3838 e0e3 - 1850 - 4850 - a411 - 2 - e8c5ba40ba8	窗户	弹性	2021年7月12日	t1105	窗户	弹性
T1105	可疑的桌面图片下载器命令 bb58aa4a b80b - 415 a - a2c0 2 - f65a4c81009	窗户	σ	2021年7月12日	t1105	窗户	σ
T1078.003	特权升级本地用户添加到管理 565 c2b44 - 7 a21 - 4818 - 955 - f - 8 d4737967d2e	Mac	弹性	2021年7月11日	t1078 - 003	mac	弹性
T1078.003	坚持在登录创建隐藏的账户 41 b638a1 - 8 ab6 - 4 - f8e - 86 d9 ef2db5——466317	Mac	弹性	2021年7月11日	t1078 - 003	mac	弹性
T1078.003	坚持使根帐户 cc2fd2d0 ba3a - 4939 b87f ed036——2901764	Mac	弹性	2021年7月11日	t1078 - 003	mac	弹性
T1078.003	管理用户远程登录 0 f63e1ef - 1 - eb9 - 4226 - 9 - d54 - 8927 ca08520a	窗户	σ	2021年7月11日	t1078 - 003	窗户	σ
T1078.003	用户登录活动监控汽车- 2013 - 10 - 001	Linux,Mac,窗户	车	2021年7月11日	t1078 - 003	linux mac windows	车
T1078.003	SMB复制和执行汽车- 2013 - 05 - 005	Linux,Mac,窗户	车	2021年7月11日	t1078 - 003	linux mac windows	车
T1078.003	SMB写请求汽车- 2013 - 05 - 003	Linux,Mac,窗户	车	2021年7月11日	t1078 - 003	linux mac windows	车
T1078.003	用户登录到多个主机汽车- 2013 - 02 - 012	Linux,Mac,窗户	车	2021年7月11日	t1078 - 003	linux mac windows	车
T1053.005	可疑的预定任务从公共目录 7 feb7972-7ac3-11eb-bac8-acde48001122	窗户	Splunk	2021年7月11日	t1053 - 005	窗户	splunk
T1059.001	Invoke-Obfuscation STDIN +发射器 6 c96fc76 - 0 - eb1 - 11 - eb - adc1 - 0242 ac120002	窗户	σ	2021年7月11日	t1059 - 001	窗户	σ
T1053.005	执行与schtasks 汽车- 2013 - 08 - 001	窗户	车	2021年7月11日	t1053 - 005	窗户	车
T1059.001	通过使用Invoke-Obfuscation剪辑 e1561947 bdd b4e3 - 4 - a74 9 - 83 baed21bdb5	窗户	σ	2021年7月11日	t1059 - 001	窗户	σ
T1562.001	影响云看日志删除 d624f0ae - 3 - dd1 - 4856 - 9 - aad ccfe4d4bfa17	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税waf acl删除 91 d04cd4 - 47 - a9 - 4334 ab14 - 084 abe274d49	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税事件中心删除 e0f36de1 - 0342 - 453 d - 95 - a9 a068b257b053	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	影响云看日志组删除 68年a7a5a5 a2fc - 4 - a76 ba9f de881b4——26849	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税SolarWinds后门服务残疾人通过注册表 b9960fef - 82 c6 - 4816 befa e917——44745030	窗户	弹性	2021年7月11日	t1562 - 001	窗户	弹性
T1562.001	国防逃避网络观察家删除 323 cb487 - 279 d - 4218 - bcbd a568efe930c6	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税警卫任务探测器删除 523116 c0 - d89d - 4 - d7c - 82 c2 - 39 - e6845a78ef	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税cloudtrail日志暂停 1 aa8fa52-44a7-4dae-b058-f3333b91c8d7	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税防火墙策略删除 e02bd3ea - 72 c6 - 4181 - ac2b - 0 - f83d17ad969	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税ec2流日志删除 9395年fd2c - 9947 - 4472 - 86 - ef - 4 - aceb2f7e872	云	弹性	2021年7月11日	t1562 - 001	云	弹性
T1562.001	国防逃税苹果软件更新修改 f683dcdf a018 - 4801 b066 - 193 d4ae6c8e5	Mac	弹性	2021年7月11日	t1562 - 001	mac	弹性
T1562.001	国防逃税试图禁用syslog服务 2 f8a1226 - 5720 - 437 d - 9 e0029deb6194——甜	Linux	弹性	2021年7月11日	t1562 - 001	linux	弹性
T1562.001	国防逃税计划工作协议启用 9 aa0e1f6 42 - 52 - ce - - e1 abb3 cee2698——09657	窗户	弹性	2021年7月11日	t1562 - 001	窗户	弹性
T1562.001	国防逃税waf规则或规则组删除 5 beaebc1范克廉cc13 - 4 - 9949 - 776 - f9e0dc318	云	弹性	2021年7月8日	t1562 - 001	云	弹性
T1562.001	国防逃税cloudtrail日志删除 7024年e2a0 - 315 d - 4334 bb1a - 441 c593e16ab	云	弹性	2021年7月8日	t1562 - 001	云	弹性
T1562.001	国防逃税azure诊断设置删除 5370年d4cd-2bb3-4d71-abf5-1e1d0ff5a2de	云	弹性	2021年7月8日	t1562 - 001	云	弹性
T1562.001	防御企图逃避del检疫鲜明 f0b48bbc - 549 e - 4 -供应量- 8 ee0 a7a72586c6a7	Mac	弹性	2021年7月8日	t1562 - 001	mac	弹性
T1562.001	国防记录仪停止逃避配置 fbd44836 - 0 - d69 - 4004 a0b4 - 03 - c20370c435	云	弹性	2021年7月8日	t1562 - 001	云	弹性
T1562.001	国防逃税后卫残疾人通过注册表 2 ffa1f1e - b6db - 47 - fa - 994 - b - 1512743847 - eb	窗户	弹性	2021年7月8日	t1562 - 001	窗户	弹性
T1562.001	国防逃税safari配置变化 6482255 d-f468-45ea-a5b3-d3a7de1331ae	Mac	弹性	2021年7月8日	t1562 - 001	mac	弹性
T1562.001	国防逃税隐私控制节点实时数据库修改 eea82229 b002 - 470 e - a9e1 - 00 - be38b14d32	Mac	弹性	2021年7月8日	t1562 - 001	mac	弹性
T1562.001	国防部国防逃税的关键 f874315d - 5188 - 4 - b4a - 8521 d1c73093a7e4	窗户	弹性	2021年7月8日	t1562 - 001	窗户	弹性
T1562.001	国防逃税端口转发添加注册表 3535年c8bb-3bd5-40f4-ae32-b7cd589d5372	窗户	弹性	2021年7月7日	t1562 - 001	窗户	弹性
T1562.001	国防逃税禁用selinux的尝试 eb9eb8ba-a983-41d9-9c93-a1c05112ca5e	Linux	弹性	2021年7月7日	t1562 - 001	linux	弹性
T1562.001	国防逃税卸载endpointsecurity文本 70年fa1af4-27fd-4f26-bd03-50b6af6b9e24	Mac	弹性	2021年7月7日	t1562 - 001	mac	弹性
T1562.001	检测篡改的Windows后卫命令提示符汽车- 2021 - 01 - 007	窗户	车	2021年7月7日	t1562 - 001	窗户	车
T1562.001	从停止Windows防御服务用户活动汽车- 2016 - 04 - 003	窗户	车	2021年7月7日	t1562 - 001	窗户	车
T1562.001	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月7日	t1562 - 001	linux mac windows	车
T1553.002	国防逃税cve 56557 cde-d923-4b88-adee-c61b3f3b5dc3	窗户	弹性	2021年7月7日	t1553 - 002	窗户	弹性
T1053.005	Schtasks用于强制重新启动 1297年fb80 f42a - 4 - b4a 9 c8a - 88 c066437cf6	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1053.005	通过CMD删除或创建计划任务 d5af132c - 7 - c17 - 439 c - 9 d31 d55340f36c——13	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1053.005	Schtasks调度远程系统上工作 1297年fb80 f42a - 4 - b4a 9 c8a - 88 c066237cf6	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1053.005	WinEvent计划任务创建的卵壳 203 ef0ea - 9 - bd8 - 11 - eb - 8201 acde48001122	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1053.005	WinEvent计划任务中创建公共道路 5 d9c6eee - 988 c - 11 - eb - 8253 acde48001122	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1053.005	计划任务与HTTP命令参数 523 c2684 - - 11幅eb - 916 b - acde48001122	窗户	Splunk	2021年7月7日	t1053 - 005	窗户	splunk
T1059.001	Powershell执行汽车- 2014 - 04 - 003	窗户	车	2021年7月7日	t1059 - 001	窗户	车
T1059.001	远程PowerShell会话汽车- 2014 - 11 - 004	窗户	车	2021年7月7日	t1059 - 001	窗户	车
T1059.001	T1086 PowerShell执行 ac7102b4 - 9 - e1e - 4802 - 9 - b4f c5524c015c——17	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Invoke-Obfuscation VAR + +发射器混淆 e9f55347 - 2928 - 4 - c06 - 88 e5 a7f8169942e——1	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	编码FromBase64String fdb62a13-9a81-4e5c-a38f-ea93a16f6d7c	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	FromBase64String命令行 e32d4572 - 9826 - 4738 - b651 - 95 fa63747e8a	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	PowerShell编码字符的语法 e312efd0 - 35 - a1 - 407 f - 8439 b8d434b438a6	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	编码IEX 88 f680b8 - 070 - e - 402 - c - ae11 d2914f2257f1	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Dnscat执行 a6d67db4 - 6220 - 436 - d - 8亚足联- f3842fe05d43	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	通过Stdin Invoke-Obfuscation 9 c14c9fa-1a63-4a64-8e57-d19280559490	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Invoke-Obfuscation VAR +发射器 27 aec9c9 - dbb0 - 4939 - 8422 - 1742242471 - d0	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	可疑PowerShell调用——通用 3 d304fda - 78 aa - 43 - ed - 975 c - d740798a49c1	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Invoke-Obfuscation剪辑+发射器 b222df08 - 0 - e07 - 11 - eb - adc1 - 0242 ac120002	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	通过使用Invoke-Obfuscation MSHTA ac20ae82 - 8758 - 4 - f38 - 958 e - b44a3140ca88	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1562.001	国防逃税试图禁用iptables或防火墙 125417 b8 - d3df - 479 f - 8418 - 12 - d7e034fee3	Linux	弹性	2021年7月7日	t1562 - 001	linux	弹性
T1562.001	国防逃避使入站和netsh rdp 074464 f9 - f30d - 4029 - 8 c03 - 0 - ed237fffec7	窗户	弹性	2021年7月7日	t1562 - 001	窗户	弹性
T1059.001	Invoke-Obfuscation RUNDLL发射器 056 a7ee1 - 4853 4 - e67 - 86 - a0 - 3 - fd9ceed7555	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1562.001	国防逃税停止流程服务门槛 035889 c4 - 2686 - 4583 - a7df - 67 f89c292f2c	窗户	弹性	2021年7月7日	t1562 - 001	窗户	弹性
T1059.001	通过使用Invoke-Obfuscation Rundll32 36 c5146c-d127-4f85-8e21-01bf62355d5a	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1552.001	在注册表文件和凭证汽车- 2020 - 09 - 004	窗户	车	2021年7月7日	t1552 - 001	窗户	车
T1552.001	凭据访问收集敏感文件 6 b84d470 - 9036 4 - cc0 a27c d90bbfe81ab——6	Linux	弹性	2021年7月7日	t1552 - 001	linux	弹性
T1552.001	凭据访问密钥库修改 792年dd7a6-7e00-4a0a-8a9a-a7c24720b5ec	云	弹性	2021年7月7日	t1552 - 001	云	弹性
T1059.001	可疑的XOR编码PowerShell命令行 812837 bb-b17f-45e9-8bd0-0ec35d2e3bd6	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	太长了PowerShell命令行 d0d28567-4b9a-45e2-8bbc-fb1b66a1f7f6	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	可疑的CLR日志创建 e4b63079 - 6198 - 405 - c - abd7 3 - fe8b0ce3263	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	PowerShell从一个可执行版本不匹配 c70e019b - 1479 - 4 - b65 b0cc cd0c6093a599	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	可疑PowerShell下载 65531 a81-a694-4e31-ae04-f8ba5bc33759	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Invoke-Obfuscation压缩模糊 7 eedcc9d - 9 -身上4 - d94 - 9 - 474 c54 e8affc0c7	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	PowerShell执行 867613 fb - fa60 - 4497 a017 a82df74a172c	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	访问在PowerShell WinAPI。代码注入。 eeb2e3dc c1f4 - 40 - dd - 9 bd5 - 149 ee465ad50	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	通过Stdin Invoke-Obfuscation 86 b896ba - ffa1 4 -有限元分析- 83 e3 ee28a4c915c7	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	通过使用Invoke-Obfuscation剪辑 db92dd33 - a3ad - 49 - cf - 8 c2c - 608 c3e30ace0	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	PowerShell从URL下载 3 b6ab547 - 8 ec2 - 4991 b9d2 - 2 - b06702a48d7	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	Invoke-Obfuscation VAR + +发射器混淆 e54f5149 - 6 ba3 - 49 - cf - b153 - 070 d24679126	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	交替PowerShell主机 fe6e002f - f244 - 4278 - 9263 - 20 - e4b593827f	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	PowerShell创建本地用户 243年de76f - 4725 - 4 - f2e - 8225 a8a69b15ad61	窗户	σ	2021年7月7日	t1059 - 001	窗户	σ
T1059.001	任何Powershell DownloadFile 1 a93b7ea-7af7-11eb-adb5-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	任何Powershell DownloadString 4 d015ef2 - 7 - adf - 11 - eb - 95 - da - acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测SharpHound命令行参数 a0bdd2f6-c2ff-11eb-b918-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测SharpHound用法 dd04b29a -反馈- 11 - eb - 87 bc - acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测SharpHound文件修改 42 b4b438-beed-11eb-ba1d-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	恶意PowerShell过程和模糊技术 cde75cf6-3c7a-4dd6-af01-27cdb4511fd4	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	设置默认PowerShell执行政策不受限制或绕过 c2590137 - 0 - b08 - 4985 - 9 - ec5 - 6 ae23d92f63d	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	恶意PowerShell绕过流程——执行政策 9 be56c82 - b1cc - 4318 - 87 - eb - d138afaaca39	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	恶意PowerShell过程——连接到互联网和隐藏的窗口 ee18ed37 - 0802 - 4268 - 9435 - b3b91aaa18db	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	Nishang PowershellTCPOneLine 1 a382c6c-7c2e-11eb-ac69-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	Powershell处理流的数据 0 d718b52-c9f1-11eb-bc61-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测AzureHound命令行参数 26 f02e96-c300-11eb-b611-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测AzureHound文件修改 1 c34549e - c31b - 11 - eb - 996 b acde48001122	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.001	检测Mimikatz使用加载图片 29 e307ba - 40 - af - 4 - ab2 - 91 - b2 - 3 - c6b392bbba0	窗户	Splunk	2021年7月7日	t1059 - 001	窗户	splunk
T1059.003	过程生成用于cmd . exe 汽车- 2013 - 02 - 003	窗户	车	2021年7月7日	t1059 - 003	窗户	车
T1059.003	离群值Cmd的父母汽车- 2014 - 11 - 002	窗户	车	2021年7月7日	t1059 - 003	窗户	车
T1059.003	Cmd。exe命令行路径遍历 087790 e3 - 3287 - 436 - c - bccf cbd0184a7db1	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	ZxShell恶意软件 f0b70adb - 0075 - 43 - b0 - 9745 e82a1c608fcc	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	伊莉斯的秘密 e507feb7 - 5 - f73 4 - ef6 a970 - 91 bb6f6d744f	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	Sofacy木马装载机活动 ba778144-5e3d-40cf-8af9-e28fb1df1e20	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	幼鲨活动 2 b30fa36 - 3 -那么- 402 f - a22d bf4ce2189f35	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	Koadic执行 5 cddf373 ef00 - 4112 ad72 - 960 ac29bac34	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	命令行执行可疑的URL和AppData字符串 1 ac8666b - 046 f - 4201 - 8 -阿坝- 1951 aaec03a3	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	AWS EC2启动Shell脚本改变 1 ab3c5ed - 5 - baf - 417 b - bb6b - 78 ca33f6c3df	云	σ	2021年7月7日	t1059 - 003	云	σ
T1059.003	HTML帮助壳牌产卵 52 cad 028 - 0 - ff0 - 4854 - 8 f67 d25dfcbc78b4	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	可疑HWP子过程 023394 c4 - 29 - d5 - 46 - ab - 92 - b8 - 6 - a534c6f447b	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	利用SetupComplete。cmd cve - 2019 - 1378 公元1 c373b6d - 76 - 4553 - 997 - d - 8 c1da9a6b5f5	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	利用Zoho ManageEngine cve - 2020 - 10189 846 b866e - 2 - a57 - 46 - ee - 8 e16天- 85 fa92759be7	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1078.002	用户帐户锁定检测过度 95年a7f9a5 - 6096 - 437 - e - a19e - 86 f42ac609bd	窗户	Splunk	2021年7月7日	t1078 - 002	窗户	splunk
T1059.003	CrackMapExec命令执行 058年f4380 - 962 d - 40 - a5 afce d36d7e2——50207	窗户	σ	2021年7月7日	t1059 - 003	窗户	σ
T1059.003	检测产卵cmd exe禁止应用程序 dcfd6b40 - 42 - f9 - 469 d - a433 e53f7486664——2	窗户	Splunk	2021年7月7日	t1059 - 003	窗户	splunk
T1059.003	检测使用cmd exe启动脚本解释器 b89919ed fe5f - 492 c - b139 - 95 dbb162039e	窗户	Splunk	2021年7月7日	t1059 - 003	窗户	splunk
T1059.003	琉克局域网唤醒命令 538年d0152-7aaa-11eb-beaa-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 003	窗户	splunk
T1059.003	CMD回声管——升级 eb277ba0-b96b-11eb-b00e-acde48001122	窗户	Splunk	2021年7月7日	t1059 - 003	窗户	splunk
T1059.005	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月7日	t1059 - 005	linux mac windows	车
T1059.005	WSF /市场/ JS / VBA / VBE文件执行 1 e33157c - 53 - b1 - 41 -广告- bbcc - 780 b80b58288	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	WMIExec根据脚本 966 e4016 - 627 f - 44 f7 - 8341 f394905c361f	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	应用白名单通过Bginfo绕过 aaf46cdc - 934 - e - 4284 - b329 aa701e3771——34	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	可疑的母公司Csc.exe b730a276 - 6 - b63 - 41 - b8 bcf8 c8fc6ee——55930	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	SquiblyTwo 8 d63dadf - b91b - 4187 - 87 - b6 - 34 - a1114577ea	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	Powershell反向壳连接 edc2f8ae - 2412 - 4 -过程- b9d5 0 - c57727e70be	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	CACTUSTORCH远程线程创建 2 e4e488a - 6164 - 4811 - 9 - ea1 f960c7359c40	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1053.005	自动运行的差异汽车- 2013 - 01 - 002	窗户	车	2021年7月7日	t1053 - 005	窗户	车
T1053.005	快速执行的一系列可疑的命令汽车- 2013 - 04 - 002	Linux,Mac,窗户	车	2021年7月7日	t1053 - 005	linux mac windows	车
T1059.005	QBot进程的创建 4 fcac6eb - 0287 - 4090 - 8 eea - 2602 e4c20040	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	WScript或CScript滴管 cea72823 - df4d - 4567 - 950 - c - 0 - b579eaf0846	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	交换PowerShell铪所使用的管理单元 25676 e10 - 2121 - 446 - e - 80 - a4 - 71 ff8506af47	网络	σ	2021年7月7日	t1059 - 005	网络	σ
T1059.005	可疑的脚本在一个WMI消费者 fe21810c - 2 a8c - 478 f - 8 dd3 - 5 - a287fb2a0e0	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	Koadic执行 5 cddf373 ef00 - 4112 ad72 - 960 ac29bac34	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	HTML帮助壳牌产卵 52 cad 028 - 0 - ff0 - 4854 - 8 f67 d25dfcbc78b4	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	Windows Shell产卵可疑程序 3 a6586ad - 127 - 4 - d3b a677 - 1 - e6eacdf8fde	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	Adwind鼠/ JRAT 1 fac1481 - 2 - dbc - 48 - b2 - 9096 - 753 - c49b4ec71	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1059.005	可疑文件特征由于缺少字段 9637 e8a5 - 7131 - 4 - f7f bdc7 - 2 - b05d8670c43	窗户	σ	2021年7月7日	t1059 - 005	窗户	σ
T1078.002	用户登录活动监控汽车- 2013 - 10 - 001	Linux,Mac,窗户	车	2021年7月6日	t1078 - 002	linux mac windows	车
T1078.002	从端点检测过度帐户锁定 c026e3dd - 7 - e18 - 4 - abb - 8 f41 - 929 e836efe74	窗户	Splunk	2021年7月6日	t1078 - 002	窗户	splunk
T1059.005	文件不允许运行 401 e5d00 - b944 11 - ea - 8 f9a ecd60ae——00163	窗户	σ	2021年7月6日	t1059 - 005	窗户	σ
T1078.002	SMB写请求汽车- 2013 - 05 - 003	Linux,Mac,窗户	车	2021年7月6日	t1078 - 002	linux mac windows	车

部署网络分析

阅读分析部署指南

介绍和先决条件

审查威胁情报

分析和检测

分析部署场景

分析表

Pinterest上销