[BUG] Windows New EventLog ChannelAccess Registry Value Set: second path has single backslashes

Abierto Apto para principiantes
  • ¿Algo no está bien?
#4,417 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
1/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
78/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Área
security

Línea de trabajo

El patrón incorrecto está en el campo search de detections/endpoint/windows_new_eventlog_channelaccess_registry_value_set.yml, en la cláusula Registry.registry_path IN (...). Compara las barras invertidas de la segunda ruta con las de la primera, que está escrita correctamente. Para comprobar la corrección, vuelve a ejecutar la consulta tstats descrita en el issue contra el log de Sysmon datasets/attack_techniques/T1562.002/eventlog_sddl_tampering/eventlog_sddl_tampering_sysmon.log. Está listo cuando la fila Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess coincide.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

bug
Describe the bug

detections/endpoint/windows_new_eventlog_channelaccess_registry_value_set.yml (id 16eb11bc-ef42-42e8-9d0c-d21e0fa15725, version 8) has this path list in its search:

Registry.registry_path IN ("*\\Microsoft\\Windows\\CurrentVersion\\WINEVT\\Channels\\*", "*\Microsoft\Windows\EventLog\*")

The first pattern has doubled backslashes. The second has single backslashes. In a tstats WHERE value, the second pattern matches nothing.

I loaded the test recording of the rule, datasets/attack_techniques/T1562.002/eventlog_sddl_tampering/eventlog_sddl_tampering_sysmon.log in attack_data (9 Sysmon events, 3 of them ChannelAccess), into Splunk Enterprise 9.3.14 and ran tstats on the Endpoint.Registry data model with Registry.registry_value_name=ChannelAccess:

Pattern Distinct registry paths matched
*\\Microsoft\\Windows\\CurrentVersion\\* 2
*\Microsoft\Windows\CurrentVersion\* 0
*MicrosoftWindowsCurrentVersion* (the same text without the backslashes) 0
*\\Microsoft\\Windows\\EventLog\\* 1
*\Microsoft\Windows\EventLog\* 0

The three ChannelAccess events (Sysmon event 13) are:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\Microsoft-Windows-TaskScheduler/Operational\ChannelAccess   (regedit.exe)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\AMSI/Debug\ChannelAccess                                   (regedit.exe)
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess                                                      (svchost.exe, Details O:SYG:SYD:(D;;0x1;;;WD))

The search of the rule, as it is in release v6.10.0 and unchanged, returns the two WINEVT\Channels rows and not the Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess row. With the backslashes of the second pattern doubled, "*\\Microsoft\\Windows\\EventLog\\*", the same search returns all three. The search returns rows in both cases, so a test that needs at least one result does not show the gap.

Expected behavior

The second pattern matches the Group Policy location of the same value (...\Policies\Microsoft\Windows\EventLog\<channel>\ChannelAccess), as the third event above shows. It should be written like the first pattern.

Suggested change: "*\\Microsoft\\Windows\\EventLog\\*".

Screenshots

None.

App Version:
  • ESCU: 6.10.0 (the search text is the same in release v6.10.0 and on develop)
  • Splunk Security Essentials: Not applicable
Additional context

None.

Lenguaje dominante
Python
Estrellas
1.7k
Forks
507
Merge medio
2 d 17 h
PR fusionados (30 d)
35

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de splunk/security_content

Todos los issues de splunk/security_content

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.