abhinavkishor9/wazuh-threat-hunting-lab06-windows-service-creation-detection

# wazuh-threat-hunting-lab06-windows-service-creation-detection ## 概述 本实验演示了攻击者如何通过创建 Windows Service 来建立持久性，以及如何使用 Windows Event Logs、Sysmon 和 Wazuh Threat Hunting 来检测此类活动。 使用 Windows `sc.exe` 实用程序创建了一个测试服务。Sysmon 捕获了进程执行情况，Windows 生成了指示新服务安装的 Event ID 7045，Wazuh 摄取了该事件以供调查。 ## 目标 - 验证 Sysmon 是否正在运行 - 验证 Wazuh Agent 连接性 - 创建 Windows Service - 检测服务创建行为 - 在 Wazuh 中调查该事件 - 查看 Event ID 7045 - 测试后移除该服务 ## 实验环境 - Windows 11 - Sysmon - Wazuh Agent - Wazuh Manager - Wazuh Dashboard ## MITRE ATT&CK **技术** T1543.003 **名称** Create or Modify System Process: Windows Service ## 攻击模拟 使用以下命令创建了 Windows Service： ``` sc create WazuhLabSvc binPath= "C:\Windows\System32\notepad.exe" start= demand ``` 使用以下命令验证了该服务： ``` sc query WazuhLabSvc ``` ## 检测工作流 1. 验证 Sysmon 服务 2. 验证 Wazuh Agent 3. 创建 Windows Service 4. Windows 记录 Event ID 7045 5. Sysmon 记录 Process Creation (Event ID 1) 6. Wazuh 摄取日志 7. 在 Threat Hunting 中进行调查 8. 移除该服务 ## 使用的命令 ### 验证 Sysmon ``` Get-Service Sysmon64 ``` ### 验证 Wazuh ``` Get-Service WazuhSvc ``` ### 创建服务 ``` sc create WazuhLabSvc binPath= "C:\Windows\System32\notepad.exe" start= demand ``` ### 验证服务 ``` sc query WazuhLabSvc ``` ### 查看 Windows Event ID 7045 ``` Get-WinEvent -LogName System -MaxEvents 50 | Where-Object {$_.Id -eq 7045} ``` ### 查看 Sysmon Process Creation ``` Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -FilterXPath "*[System[(EventID=1)]]" -MaxEvents 30 | Where-Object {$_.Message -match "sc.exe"} ``` ### 移除服务 ``` sc delete WazuhLabSvc ``` ## 检测结果 - Windows Service 创建成功 - 生成了 Windows Event ID 7045 - Sysmon 捕获了服务创建进程 - Wazuh 检测到了服务安装 - 在 Threat Hunting 中调查了该事件 - 服务已成功移除 ## 观察到的指标 - 服务名称 - 服务路径 - 进程名称 - 用户账户 - Event ID 7045 - Sysmon Event ID 1 - 时间戳 - Agent 名称 ## 练习技能 - Windows Service 分析 - 持久性检测 - Windows Event Logs - Sysmon 调查 - Wazuh Threat Hunting - IOC 收集 - MITRE ATT&CK 映射 ## MITRE ATT&CK 映射 | 技术 | 描述 | |-----------|-------------| | T1543.003 | Windows Service 持久性 | ## 结果 成功模拟了 Windows Service 持久性，验证了 Windows Event ID 7045 的生成，关联了 Sysmon 遥测数据，并在 Wazuh Threat Hunting 中调查了该活动。

标签：AI合规, Sysmon, Wazuh, Windows服务检测, 安全实验