Cyber Security: Источник Microsoft IIS

Описание источника

Источником служат журналы веб-сервера Microsoft IIS. Правила выявляют сканирование и перебор, внедрение команд, SQL-кода и шаблонных выражений, обход каталогов, SSRF и RFI, обращения без User-Agent и с адресов из черного списка, а также изменения конфигурации IIS.

Правила анализируют HTTP-запросы к сайтам IIS и изменения конфигурации веб-сервера. Часть правил сопоставляет веб-запросы с запуском процессов на хосте веб-сервера и так выявляет эксплуатацию уязвимостей и веб-шеллы.

Требования к сбору

• в IIS включена запись журнала в события ETW (Log Event Destination) и включен канал Microsoft-IIS-Logging/Logs, см. Настройка источников на инфраструктуре
• включен канал Microsoft-IIS-Configuration/Operational
• конфигурация сбора IIS, см. Подключение и настройка сбора данных

Покрытие MITRE ATT&CK

Правила источника охватывают следующие тактики.

• разведка
• первоначальный доступ
• закрепление
• ослабление защиты
• получение учетных данных
• изучение

Справочники

Правила источника обогащают инциденты контекстом из справочников инфраструктуры и учетных записей, а по справочникам исключений отсекают штатную активность. Требования к наполнению описаны в разделе Справочники.

Документы в поставке модуля

Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.