tlog 터미널 로그에서 adduser 또는 useradd 명령어로 계정 추가 시 탐지합니다.
Overview
| Priority | High |
|---|---|
| Type | Stream |
| Log schema | scribery-tlog-recording |
| Message | $hostname에서 $user 계정이 $pattern 명령어 실행 |
| Output field order | _log_time, pattern, hostname, user, term_type, cmd_line, output, in_bin, out_bin |
| MITRE Techniques | T1136.001 Create Account: Local Account |
| MITRE tactics | TA0003 Persistence |
Query
1| eval pattern = groups(cmd_line, "(\\badduser\\b)|(\\buseradd\\b)")
2| search isnotnull(pattern)
3| eval pattern = trim(strjoin("\n", foreach(if(isnull(_1), "", _1), pattern)))
명령줄에서 sudo 명령어 패턴을 탐지합니다.
Threat analysis
- 공격자는 초기 침투에 성공한 이후 지속적으로 해당 시스템에 접속하기 위하여 시스템 계정을 생성합니다.
False positives
- 정상적인 계정 추가 시에도 탐지되므로 해당 계정 추가가 인가된 작업이었는지 확인합니다.
Response actions
- 의도하지 않은 계정이 추가되었다면 새로 생성된 계정을 삭제합니다. 이어서 어떻게 계정을 추가할 수 있었는지 침입 경로를 조사하여 대응 조치합니다.