hunting-for-scheduled-task-persistence

猎捕计划任务持久化

何时使用

• 当主动猎捕环境中计划任务持久化的相关指标时
• 当威胁情报表明存在使用这些技术的活跃攻击活动时
• 在事件响应期间，界定与这些技术相关的失陷范围时
• 当 EDR 或 SIEM 告警在相关指标上触发时
• 在定期安全评估和紫队演练期间

前置条件

• 具备进程和网络遥测能力的 EDR 平台（CrowdStrike、MDE、SentinelOne）
• 已摄取相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
• 部署了全面配置的 Sysmon
• 已启用 Windows 安全事件日志转发
• 用于 IOC 关联的威胁情报源

工作流

1. 提出假设：基于威胁情报或 ATT&CK 差距分析，定义可检验的假设。
2. 识别数据源：确定验证或推翻该假设所需的日志和遥测数据。
3. 执行查询：针对 SIEM 和 EDR 平台运行检测查询，收集相关事件。
4. 分析结果：检查查询结果中的异常，并在多个数据源之间进行关联。
5. 验证发现：通过上下文分析区分真阳性和假阳性。
6. 关联活动：将发现与更广泛的攻击链和威胁行为者 TTP 关联起来。
7. 记录并报告：记录发现、更新检测规则，并建议响应措施。

关键概念

概念	描述
T1053.005	Scheduled Task
T1053.003	Cron
T1053.002	At

工具与系统

工具	用途
CrowdStrike Falcon	EDR 遥测与威胁检测
Microsoft Defender for Endpoint	使用 KQL 进行高级猎捕
Splunk Enterprise	使用 SPL 查询进行 SIEM 日志分析
Elastic Security	检测规则与调查时间线
Sysmon	详细的 Windows 事件监控
Velociraptor	端点工件收集与猎捕
Sigma Rules	跨平台检测规则格式

常见场景

1. 场景 1：Cobalt Strike 通过 schtasks 创建周期性信标实现持久化
2. 场景 2：勒索软件利用计划任务在重启后重新执行
3. 场景 3：APT 每隔 30 分钟运行一次编码的 PowerShell 任务
4. 场景 4：内部人员利用任务定期复制敏感文件

输出格式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1053.005
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]