Куда я попал?
SECURITM это система для корпоративных служб информационной безопасности,
которая автоматизирует ключевые процессы управления:
контроль соответствия требованиям, управление рисками, учет активов, планирование работ,
задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
Угроза
Повышение привилегий в ОС
из-за уязвимости
Возможность использования подписки на события WMI
в Активе
ОС Windows
Описание угрозы
Повышение привилегий — это использование компьютерного бага, уязвимостей, ошибки в конфигурации операционной системы или программного обеспечения с целью повышения уровня доступа к вычислительным ресурсам, которые обычно защищены от пользователя. В итоге, приложение, обладающее большими полномочиями, чем предполагалось системным администратором, может совершать неавторизированные действия. Повышением привилегий называют ситуацию, когда пользователь компьютерной системы каким-либо образом повышает свои полномочия в этой системе (другими словами: получил возможность делать то, чего прежде делать не мог).
Описание уязвимости
Windows Management Instrumentation (WMI) - инструментарий управления Windows. Это одна из базовых технологий для централизованного управления и слежения за работой различных частей компьютерной инфраструктуры под управлением платформы Windows.
WMI можно использовать для выполнения произвольного кода при возникновении определенного события.
Злоумышленники могут использовать возможности WMI для закрепления в инфраструктуре. А также могут компилировать сценарии WMI в файлы объектов управления Windows (MOF) (расширение.mof), которые могут быть использованы для создания вредоносной подписки. Подписки WMI выполняются процессом WmiPrvSe и могут привести к выполнению ВПО с повышенными системными привилегиями.
WMI можно использовать для выполнения произвольного кода при возникновении определенного события.
Злоумышленники могут использовать возможности WMI для закрепления в инфраструктуре. А также могут компилировать сценарии WMI в файлы объектов управления Windows (MOF) (расширение.mof), которые могут быть использованы для создания вредоносной подписки. Подписки WMI выполняются процессом WmiPrvSe и могут привести к выполнению ВПО с повышенными системными привилегиями.
Описание типа актива
Microsoft Windows любых версийОбъекты атаки
Операционная система
Классификация
КЦД:
Целостность
?
Целостность / integrity Свойство сохранения правильности и полноты активов.
STRIDE:
Повышение привилегий
?
Повышение привилегий / Elevation of privilege Предоставление пользователю прав и полномочий больших чем ему предназначено. В том числе в результате нарушений де...
Источники угрозы
Внешний нарушитель -
Средний потенциал
?
Внешний нарушитель Находящийся вне информационной системы на момент начала реализации угрозы.
Для реализации угроз в информационной системе внешний нарушитель...
Внутренний нарушитель -
Средний потенциал
?
Внутренний нарушитель Находящийся внутри информационной системы на момент начала реализации угрозы.
К внутренним нарушителям относят инсайдеров, несмотря на то...
Техники ATT@CK:
T1546.003
Event Triggered Execution:
Windows Management Instrumentation Event Subscription
Adversaries may establish persistence and elevate privileges by executing malicious content triggered by a Windows Management In...
Связанные защитные меры
Ничего не найдено