새로운 윈도우 서비스 설치 시 탐지합니다.
Overview
| Priority | Low |
|---|---|
| Type | Stream |
| Log schema | winevent |
| Message | 윈도우 서비스 설치: $svc_name |
| Output field order | _log_time, host_ip, computer, user, provider, event_id, record_id, svc_name, line |
| MITRE Techniques | T1569.002 System Services: Service Execution |
| MITRE tactics | TA0002 Execution |
Query
1| search event_id == "7045"
2| eval svc_name = xpath(xml, "//Event/EventData/Data[@Name='ServiceName']/text()")
3| eval src_ip = host_ip
이벤트 채널 System 을 대상으로 서비스 설치에 해당되는 이벤트 ID 7045를 필터링합니다.
Threat analysis
- 공격자는 대상 윈도우 시스템에 윈도우 서비스를 설치하여 악성 행위를 실행할 수 있습니다.
False positives
- 정상적인 윈도우 서비스 설치도 탐지하므로, 화이트리스트를 이용하여 불필요한 이벤트는 제거합니다.
- 예시: GoogleUpdater Service 127.0.6490.0 (GoogleUpdaterService127.0.6490.0)