KEDR. Suspicious lsass access

1. Скачайте архив со скриптами по этой ссылке. В архиве вы найдете папку с плейбуками, которая содержит:
   • папку docs, которая содержит файлы с описанием работы плейбуков;
   • папку code, которая содержит файлы JSON с определениями плейбуков;
   • папку scripts, которая содержит скрипты Python, необходимые для выполнения пользовательских действий в плейбуке.
2. Сгенерируйте API-токен для всех методов API в api/v3/kuma.
3. В файле kuma_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
4. Сгенерируйте API-токен с правами на взаимодействие с OpenAPI.
5. В файле xdr_open_api.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR.
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
6. В файле xdr_link_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • user – введите свое имя пользователя;
   • password – введите свой пароль.
7. Скопируйте файлы kuma_events.py, xdr_link_events.py, xdr_open_api.py и requirements.txt в директорию на удаленном клиентском устройстве.

   Директория скриптов по умолчанию – /opt/xdr_scripts. Если вы выберете другую директорию для скриптов, вам нужно изменить значение параметра workdir в поле Входные данные в дополнительных параметрах каждого затронутого шаблона плейбука.

8. На удаленном клиентском устройстве перейдите в директорию, содержащую файл requirements.txt, и выполните следующую команду для установки зависимостей:

   pip install -r requirements.txt

9. Настройте службу удаленного запуска скриптов и SSH-соединение.

.OriginalEvents | any(select(.DevicePayloadID | contains("suspicious_lsass_memory_access_from_windows_shell") or contains("suspicious_lsass_memory_access_from_public_directory") or contains("attempt_to_access_to_lsass_process_epp") or contains("remotely_lsass_access")))

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"input": "${ {\"workdir\": \"/opt/xdr_scripts\", \"timewindow\": \"86400\"} }",

"executionFlow": [

{

"updateData": {

"filter": "${{susp_event: [alert.OriginalEvents[] | select(.DevicePayloadID | contains(\"suspicious_lsass_memory_access_from_windows_shell\") or contains(\"suspicious_lsass_memory_access_from_public_directory\") or contains(\"attempt_to_access_to_lsass_process_epp\") or contains(\"remotely_lsass_access\"))][0].BaseEvents[0]}}",

"action": "merge"

}

},

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" child_process_tree_edr_windows\" , \" '\", (.susp_event.DestinationProcessID | tostring), \"' '\", (.susp_event.DeviceHostName | tostring), \"' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

},

"output": {

"filter": "${ {susp_process_tree: (.details.stdOut | fromjson)} }",

"action": "merge"

}

}

},

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"Suspicious processes were detected on host \" + (.susp_event.DeviceHostName) + \". All of them should be terminated to contain possible malicious activity.\nChild process tree of the malicious process: \"+ (.susp_event.DestinationUserName) + \": (\" + (.susp_event.DestinationProcessID | tostring) + \") \" + (.susp_event.DestinationProcessName) + \"\n\" + ( [ .susp_process_tree[] | \"*\"*4*.process_level + \"└──> \" + (.DestinationUserName) + \": (\" + (.DestinationProcessID | tostring) + \") \" + (.DestinationProcessName) ] | join(\"\n\") ) }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.susp_event.DestinationProcessID}"

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"loop": {

"input": "${.susp_process_tree }",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.DestinationProcessID}"

},

"assets": "${.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

],

"onError": "stop",

"batchSize": 1

}

}

]

}

]

}

}

]

}