detecting-email-forwarding-rules-attack

检测电子邮件转发规则攻击

适用场景

• 主动搜寻环境中可能表明存在电子邮件转发规则攻击的迹象时
• 威胁情报显示正在发生使用这些技术的攻击活动后
• 事件响应期间，评估与这些技术相关的失陷范围时
• EDR 或 SIEM 因相关迹象触发警报时
• 定期安全评估和紫队演练期间

前提条件

• 具备进程和网络遥测数据的 EDR 平台（CrowdStrike、MDE、SentinelOne）
• 已接入相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
• 已部署并采用全面配置的 Sysmon
• 已启用 Windows 安全事件日志转发
• 用于 IOC 关联分析的威胁情报源

工作流

1. 提出假设：根据威胁情报或 ATT&CK 差距分析，定义一个可测试的假设。
2. 确定数据源：确定验证或证伪假设所需的日志和遥测数据。
3. 执行查询：在 SIEM 和 EDR 平台上运行检测查询，收集相关事件。
4. 分析结果：检查查询结果是否存在异常，并关联多个数据源的数据。
5. 验证发现：通过上下文分析区分真阳性和误报。
6. 关联活动：将发现与更广泛的攻击链和威胁行为者 TTP 关联起来。
7. 记录并报告：记录发现、更新检测规则并提出响应建议。

核心概念

概念	描述
T1114.003	电子邮件转发规则
T1114.002	远程电子邮件收集
T1098.002	额外的电子邮件委派权限

工具和系统

工具	用途
CrowdStrike Falcon	EDR 遥测和威胁检测
Microsoft Defender for Endpoint	使用 KQL 进行高级搜寻
Splunk Enterprise	使用 SPL 查询分析 SIEM 日志
Elastic Security	检测规则和调查时间线
Sysmon	详细监控 Windows 事件
Velociraptor	收集端点工件并进行搜寻
Sigma Rules	跨平台检测规则格式

常见场景

1. 场景 1：BEC 攻击者创建规则，将电子邮件转发到外部邮箱
2. 场景 2：失陷账户创建规则，删除安全警报
3. 场景 3：收件箱规则将 CEO 的电子邮件转发到攻击者的邮箱
4. 场景 4：滥用 OAuth 应用创建传输规则以收集数据

输出格式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1114.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]