Microsoft IIS: правила корреляции

Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.

Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков.

ID правила Название правила Описание Тактики и техники

ID правила	Название правила	Описание	Тактики и техники
RV-D-1131	Установка модуля IIS	Appcmd.exe — легитимная утилита управления Microsoft IIS, входящая в состав Internet Information Services и предназначенная для настройки веб-сервера через командную строку. Данный инструмент позволяет добавлять и регистрировать собственные ISAPI-фильтры, Native-модули и управляемые модули, что может быть использовано атакующим для внедрения вредоносных компонентов в конвейер обработки запросов IIS. Это позволяет реализовать механизм закрепления и выполнения кода в контексте рабочего процесса веб-сервера, маскируя активность под легитимные операции обслуживания инфраструктуры.	Execution (TA0002) Persistence (TA0003) Command and Scripting Interpreter (T1059) PowerShell (T1059.001) Windows Command Shell (T1059.003) Server Software Component (T1505) IIS Components (T1505.004)
RV-D-1897	Расшифровка строк подключения IIS	Aspnet_regiis.exe — штатная утилита .NET Framework, предназначенная для регистрации ASP.NET в IIS и для защиты секций конфигурационных файлов `web.config` с помощью провайдеров RSA и DPAPI. Ключи `-pd` и `-pdf` выполняют обратную операцию — расшифровку ранее защищенной секции конфигурации. Секция connectionStrings хранит строки подключения к базам данных вместе с учетными данными, поэтому ее расшифровка на веб-сервере приводит к раскрытию паролей технологических учетных записей в открытом виде. Атакующий, получивший доступ к веб-серверу, использует утилиту как легитимный инструмент двойного назначения (LOLBin) для извлечения учетных данных без применения стороннего ПО и без обращения к средствам защиты. Полученные строки подключения позволяют развить атаку на СУБД и выполнить горизонтальное перемещение в инфраструктуре.	Execution (TA0002) Credential Access (TA0006) Command and Scripting Interpreter (T1059) PowerShell (T1059.001) Windows Command Shell (T1059.003) Unsecured Credentials (T1552) Credentials In Files (T1552.001)
RV-D-1899	Удаление журналов веб-сервера IIS	Журналы IIS (W3SVC) являются основным источником данных для расследования атак на веб-приложения — в них фиксируются IP-адреса источников, URI запросов, коды ответов и User-Agent. Именно по ним восстанавливается факт эксплуатации уязвимости, обращения к веб-шеллу и выгрузки данных. Атакующий, закрепившийся на веб-сервере, удаляет файлы журналов, чтобы уничтожить следы первичного проникновения и последующей активности. В отличие от журналов Windows, логи IIS являются обычными файлами, поэтому их удаление не порождает событий очистки журнала аудита и фиксируется только событием 4663 с маской доступа DELETE при включенном аудите доступа к объектам файловой системы. Правило детектирует удаление файлов из каталогов журналов IIS.	Defense Evasion (TA0005) Indicator Removal (T1070) File Deletion (T1070.004)

RV-D-1131

Установка модуля IIS

Appcmd.exe — легитимная утилита управления Microsoft IIS, входящая в состав Internet Information Services и предназначенная для настройки веб-сервера через командную строку. Данный инструмент позволяет добавлять и регистрировать собственные ISAPI-фильтры, Native-модули и управляемые модули, что может быть использовано атакующим для внедрения вредоносных компонентов в конвейер обработки запросов IIS. Это позволяет реализовать механизм закрепления и выполнения кода в контексте рабочего процесса веб-сервера, маскируя активность под легитимные операции обслуживания инфраструктуры.

Execution (TA0002)
Persistence (TA0003)
Command and Scripting Interpreter (T1059)
PowerShell (T1059.001)
Windows Command Shell (T1059.003)
Server Software Component (T1505)
IIS Components (T1505.004)

RV-D-1897

Расшифровка строк подключения IIS

Aspnet_regiis.exe — штатная утилита .NET Framework, предназначенная для регистрации ASP.NET в IIS и для защиты секций конфигурационных файлов web.config с помощью провайдеров RSA и DPAPI. Ключи -pd и -pdf выполняют обратную операцию — расшифровку ранее защищенной секции конфигурации. Секция connectionStrings хранит строки подключения к базам данных вместе с учетными данными, поэтому ее расшифровка на веб-сервере приводит к раскрытию паролей технологических учетных записей в открытом виде. Атакующий, получивший доступ к веб-серверу, использует утилиту как легитимный инструмент двойного назначения (LOLBin) для извлечения учетных данных без применения стороннего ПО и без обращения к средствам защиты. Полученные строки подключения позволяют развить атаку на СУБД и выполнить горизонтальное перемещение в инфраструктуре.

Execution (TA0002)
Credential Access (TA0006)
Command and Scripting Interpreter (T1059)
PowerShell (T1059.001)
Windows Command Shell (T1059.003)
Unsecured Credentials (T1552)
Credentials In Files (T1552.001)

RV-D-1899

Удаление журналов веб-сервера IIS

Журналы IIS (W3SVC) являются основным источником данных для расследования атак на веб-приложения — в них фиксируются IP-адреса источников, URI запросов, коды ответов и User-Agent. Именно по ним восстанавливается факт эксплуатации уязвимости, обращения к веб-шеллу и выгрузки данных. Атакующий, закрепившийся на веб-сервере, удаляет файлы журналов, чтобы уничтожить следы первичного проникновения и последующей активности. В отличие от журналов Windows, логи IIS являются обычными файлами, поэтому их удаление не порождает событий очистки журнала аудита и фиксируется только событием 4663 с маской доступа DELETE при включенном аудите доступа к объектам файловой системы. Правило детектирует удаление файлов из каталогов журналов IIS.

Defense Evasion (TA0005)
Indicator Removal (T1070)
File Deletion (T1070.004)

Была ли полезна эта страница?

Обратная связь