Some work with Expert Rules in McAfee Endpoint Security

Bằng việc sử dụng Expert Rules trong policy Threat Prevention - Exploit Prevention, chúng ta có thể tạo ra một số custom rules để phục vụ cho việc giám sát một số hành vi bất thường trên endpoint.

😏 Nếu các bạn muốn sử dụng các rules này trên hệ thống Production thì nên lưu ý nên thực hiện các bước sau để nâng cao tính hiệu quả:

Áp dụng các rules bên dưới chạy ở mode monitor cho một nhóm nhỏ
Thêm các Exclusion cho các rules bị noise
Mở rộng việc áp dụng các rules này cho các Endpoint khác
Thêm các Exclusion cho các rules bị noise
Apply Block mode 🔥

Note:

Các rules bên dưới đa số dựa vào process command line mà process sẽ thực thi để xác định hành vi bât thường
McAfee sẽ không support bạn trong trường hợp các Custon Rules gây ảnh hưởng đến hệ thống của bạn 😞 vậy nên Take Care of Yourself 😄
Việc thêm các exclusion đồng nghĩa với việc hacker có thể sử dụng điều đó để bypass các rules bạn định nghĩa 👊
Exclusion có thể add thêm bằng cách thêm dòng Exclude PROCESS_CMD_LINE { -v "nội dung cần exclusion" } vào section Process
Các DLL trong section Target nhằm mục đích giới hạn số lượng event mà McAfee Endpoint Security tạo ra. DLL này sẽ được process trong section Process load lên khi chạy
Ba cái thứ này sao không cài sysmon mà monitor cho đầy đủ 😏 ? Bởi vì tôi thích làm bằng McAfee 😕

regsvr32.exe local/remote COM scriptlet execution

Mitre Att&ck: https://attack.mitre.org/techniques/T1117/

Rule type: Processes

Rule content:

Rule {
    Process {
        Include OBJECT_NAME { -v *regsvr32* }
        Include PROCESS_CMD_LINE { -v "*.sct*" }
        Include PROCESS_CMD_LINE { -v "*.txt*" }
        Include PROCESS_CMD_LINE { -v "*.xml*" }
        Include PROCESS_CMD_LINE { -v "*http:*" }
        Include PROCESS_CMD_LINE { -v "*https:*" }
    }
    Target {
        Match FILE {  
            Include OBJECT_NAME { 
                -v "C:\\WINDOWS\\SYSTEM32\\BCRYPT.DLL" 
            } 
            Include -access "READ"
        }
    }
}

WMIC/wmiprvse create unwanted process

Rule type: Processes

Rule content:

Rule {
    Process {
        Include OBJECT_NAME { -v *wmiprvse* }
        Include OBJECT_NAME { -v *wmic* }
    }
    Target {
        Match FILE {
            Include OBJECT_NAME {
                -v "powershell.exe"
                -v "mshta.exe"
                -v "certutil.exe"
                -v "cmstp.exe" 
            }
            Include -access "EXECUTE"
        }
    }
}

Mshta.exe executes JavaScript from internet

Mitre Att&ck: https://attack.mitre.org/techniques/T1170

Rule type: Processes

Rule content:

Rule {
    Process {
        Include OBJECT_NAME { -v mshta.exe }
        Include PROCESS_CMD_LINE { -v "*http*" }
    }
    Target {
        Match FILE {
            Include OBJECT_NAME { 
                -v "C:\\WINDOWS\\SYSTEM32\\DNSAPI.DLL"
            }
            Include -access "READ"
        }
    }
}

InstallUtil.exe uninstall method call

Mitre Att&ck: https://attack.mitre.org/techniques/T1118/

Rule type: Processes

Rule content:

Rule {
    Process {
        Include OBJECT_NAME { -v "C:\\Windows\\Microsoft.NET\\Framework*\\**\\InstallUtil.exe" }
        Include PROCESS_CMD_LINE { -v "*LogToConsole=false*" }
    }
    Target {
        Match FILE {  
            Include OBJECT_NAME { 
                -v "C:\\WINDOWS\\SYSTEM32\\BCRYPT.DLL"
            } 
            Include -access "READ"
        }
    }
}

Execution using csmtp.exe inf file

Mitre Att&ck: https://attack.mitre.org/techniques/T1191/

Rule type: Processes

Rule content:

Rule {
    Process {
        Include OBJECT_NAME { -v cmstp.exe }
        Include PROCESS_CMD_LINE { -v "*.inf*" }
        Include PROCESS_CMD_LINE { -v "*.sct*" }
        Include PROCESS_CMD_LINE { -v "*.txt*" }
    }
    Target {
        Match FILE {  
            Include OBJECT_NAME {
                -v "C:\\WINDOWS\\SYSTEM32\\CMUTIL.DLL"
            } 
            Include -access "READ"
        }
    }
}