Regola della settimana: Esecuzione di comandi su Azure VM

Nella Sezione della Settimana presentiamo la Esecuzione Comandi su Azure VM (via azureactivity) regola del Team di SOC Prime: https://tdm.socprime.com/tdm/info/A5uYMlcWOmeq/RYxlfnIB1-hfOQirCXZy/?p=1#

  Gli avversari possono abusare delle funzionalità di Azure VM per stabilire un punto d’appoggio in un ambiente, che potrebbe essere utilizzato per mantenere l’accesso e scalare i privilegi. Possono sfruttare la funzione Run Command che utilizza l’agente della macchina virtuale (VM) per eseguire script PowerShell all’interno di un Azure Windows VM. Lo sfruttamento di questa funzione consente di eseguire comandi anche quando la VM non è raggiungibile (ad esempio, se le porte RDP o SSH sono chiuse) tramite il Portale Azure, l’API REST, l’Azure CLI o PowerShell.

La regola ha traduzioni per le seguenti piattaforme:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Sumo Logic, ELK Stack, RSA NetWitness,

EDR: Elastic Endpoint

MITRE ATT&CK:

Tattiche: Accesso Iniziale, Esecuzione, Persistenza, Escalation dei Privilegi, Evasione della Difesa

Tecniche: Interfaccia a Riga di Comando (T1059), Accesso Ridondante (T1108), Account Validi (T1078)

La regola di Esecuzione Comandi su Azure VM (via azureactivity) copre tre tecniche MITRE ATT&CK.Per eseguire con successo questo attacco sull’infrastruttura Azure ed eseguire comandi, gli hacker necessitano dell’accesso a un account di dominio. Vogliamo offrire un elenco di contenuti disponibili su Threat Detection Marketplace che ti aiuteranno a scoprire tentativi di sottrarre credenziali.

Raccolta di Credenziali dal Gestore delle Credenziali di Windows (via cmdline): https://tdm.socprime.com/tdm/info/41LYkTLe4g4a/iSGyYHIBjwDfaYjKFbEf/

Pacchetto Regole Monitoraggio Sicurezza VPN: https://my.socprime.com/en/integrations/vpn-security-monitor

Pacchetto Regole Monitoraggio Sicurezza per la piattaforma SaaS di Office365: https://my.socprime.com/en/integrations/security-monitoring-for-office365-saas-platform-ala

Pacchetto Regole Sicurezza delle Password: https://my.socprime.com/en/integrations/password-security-sentinel

Pacchetto Regole Rilevamento Forza Bruta: https://my.socprime.com/en/integrations/brute-force-detection