[BUG] Windows New EventLog ChannelAccess Registry Value Set: second path has single backslashes

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#4,417 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
1/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
78/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Lĩnh vực
security

Hướng nghiên cứu

Mẫu lỗi nằm trong trường search của detections/endpoint/windows_new_eventlog_channelaccess_registry_value_set.yml, ở mệnh đề Registry.registry_path IN (...). Hãy so sánh các dấu gạch chéo ngược của đường dẫn thứ hai với đường dẫn thứ nhất, đường dẫn này đã được viết đúng. Để kiểm tra bản sửa, chạy lại truy vấn tstats được mô tả trong issue trên log Sysmon datasets/attack_techniques/T1562.002/eventlog_sddl_tampering/eventlog_sddl_tampering_sysmon.log. Hoàn thành khi dòng Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess được khớp.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug
Describe the bug

detections/endpoint/windows_new_eventlog_channelaccess_registry_value_set.yml (id 16eb11bc-ef42-42e8-9d0c-d21e0fa15725, version 8) has this path list in its search:

Registry.registry_path IN ("*\\Microsoft\\Windows\\CurrentVersion\\WINEVT\\Channels\\*", "*\Microsoft\Windows\EventLog\*")

The first pattern has doubled backslashes. The second has single backslashes. In a tstats WHERE value, the second pattern matches nothing.

I loaded the test recording of the rule, datasets/attack_techniques/T1562.002/eventlog_sddl_tampering/eventlog_sddl_tampering_sysmon.log in attack_data (9 Sysmon events, 3 of them ChannelAccess), into Splunk Enterprise 9.3.14 and ran tstats on the Endpoint.Registry data model with Registry.registry_value_name=ChannelAccess:

Pattern Distinct registry paths matched
*\\Microsoft\\Windows\\CurrentVersion\\* 2
*\Microsoft\Windows\CurrentVersion\* 0
*MicrosoftWindowsCurrentVersion* (the same text without the backslashes) 0
*\\Microsoft\\Windows\\EventLog\\* 1
*\Microsoft\Windows\EventLog\* 0

The three ChannelAccess events (Sysmon event 13) are:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\Microsoft-Windows-TaskScheduler/Operational\ChannelAccess   (regedit.exe)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\AMSI/Debug\ChannelAccess                                   (regedit.exe)
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess                                                      (svchost.exe, Details O:SYG:SYD:(D;;0x1;;;WD))

The search of the rule, as it is in release v6.10.0 and unchanged, returns the two WINEVT\Channels rows and not the Policies\Microsoft\Windows\EventLog\Setup\ChannelAccess row. With the backslashes of the second pattern doubled, "*\\Microsoft\\Windows\\EventLog\\*", the same search returns all three. The search returns rows in both cases, so a test that needs at least one result does not show the gap.

Expected behavior

The second pattern matches the Group Policy location of the same value (...\Policies\Microsoft\Windows\EventLog\<channel>\ChannelAccess), as the third event above shows. It should be written like the first pattern.

Suggested change: "*\\Microsoft\\Windows\\EventLog\\*".

Screenshots

None.

App Version:
  • ESCU: 6.10.0 (the search text is the same in release v6.10.0 and on develop)
  • Splunk Security Essentials: Not applicable
Additional context

None.

Ngôn ngữ chính
Python
Star
1.7k
Fork
507
Merge trung bình
2 ngày 17 giờ
Pull request đã merge (30 ngày)
35

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của splunk/security_content

Tất cả issue của splunk/security_content

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.