detecting-lateral-movement-with-splunk

使用 Splunk 检测横向移动

适用场景

• 在受感染系统之间搜寻攻击者移动时
• 在检测到凭据窃取后，追踪后续横向活动时
• 在调查网络中异常身份验证模式时
• 在事件响应期间确定失陷范围时
• 在主动搜寻 TA0008（横向移动）技术时

前提条件

• 已部署 Splunk Enterprise 或 Splunk Cloud，并已摄取 Windows 事件数据
• 已转发 Windows 安全事件日志（4624、4625、4648、4672、4768、4769）
• 已部署 Sysmon 以获取进程创建和网络连接数据
• 具备网络流数据或防火墙日志，用于关联 SMB/RDP/WinRM
• 具备 Active Directory 用户和组成员关系参考数据

工作流

1. 定义横向移动范围：确定要搜寻哪些横向移动技术（RDP、SMB/管理共享、WinRM、PsExec、WMI、DCOM、SSH）。
2. 查询身份验证事件：使用 SPL 搜索整个环境中的 Type 3（网络）和 Type 10（远程交互）登录。
3. 构建身份验证图谱：映射源到目标的身份验证关系，以识别异常连接模式。
4. 检测首次出现的关系：识别历史基线中未曾出现过的新源-目标对。
5. 与进程活动关联：将身份验证事件与目标主机上后续的进程创建关联起来。
6. 识别异常模式：标记对敏感服务器的横向移动、异常时间、服务账户滥用或快速访问多台主机的行为。
7. 报告与遏制：记录横向移动路径、受影响系统，并协调遏制响应。

关键概念

概念	描述
T1021	远程服务（父技术）
T1021.001	远程桌面协议（RDP）
T1021.002	SMB/Windows 管理共享
T1021.003	分布式 COM（DCOM）
T1021.004	SSH
T1021.006	Windows 远程管理（WinRM）
T1570	横向工具传输
T1047	Windows Management Instrumentation
T1569.002	服务执行（PsExec）
登录类型 3	网络登录（SMB、WinRM、映射驱动器）
登录类型 10	远程交互（RDP）
事件 ID 4624	登录成功
事件 ID 4648	显式凭据登录（runas、PsExec）

工具与系统

工具	用途
Splunk Enterprise	用于日志聚合和 SPL 查询的 SIEM
Splunk Enterprise Security	威胁检测和值得注意的事件
Windows Event Forwarding	集中管理 Windows 日志
Sysmon	详细的进程和网络遥测
BloodHound	AD 攻击路径分析
PingCastle	AD 安全评估

常见场景

1. PsExec 横向移动：攻击者使用 PsExec 通过 SMB 在远程系统上执行命令，产生带有 ADMIN$ 共享访问的 Type 3 登录。
2. RDP 跳板攻击：攻击者使用窃取的凭据通过 RDP 连接到内部系统，产生 Type 10 登录事件。
3. WMI 远程执行：攻击者使用 WMIC process call create 在远程主机上生成进程。
4. WinRM PowerShell 远程处理：攻击者使用 Enter-PSSession 或 Invoke-Command 在远程系统上执行代码。
5. 通过 SMB 的 Pass-the-Hash：使用失陷的 NTLM 哈希对远程系统进行身份验证，而无需知道明文密码。

输出格式

Hunt ID: TH-LATMOV-[DATE]-[SEQ]
Movement Type: [RDP/SMB/WinRM/WMI/DCOM/PsExec]
Source Host: [Hostname/IP]
Destination Host: [Hostname/IP]
Account Used: [Username]
Logon Type: [3/10/other]
First Seen: [Timestamp]
Event Count: [Number of events]
Risk Level: [Critical/High/Medium/Low]
Lateral Movement Path: [A -> B -> C -> D]