Como muitos sabem, temos investido bastante tempo e pesquisa nos eventos do Windows (EventIDs) aqui na Clavis. No caso, um que chama atencao por fornecer bastante informacao e o eventid 4688, que se refere a criacao de novos processos, o qual muito utilizado por um atacante com acesso a maquina.Se repararmos nesse evento, notaremos que a parte do Command Line esta vazia, pois essa opcao nao sei por qual motivo nao vem habilitada por padrao e ela que realmente faz todo o diferencial para um analista de seguranca diferenciar comandos maliciosos ou nao (logicamente exemplo bem simplista aqui).Abaixo duas tabelas baseados apenas no NewProcess e no CommandLine completo para os mesmos eventos, isso em uma maquina laboratorio com minimo acesso no momento, porem maquina de testes. Da pra se notar como a quantidade de informacao e BEM diferentes com e sem o KB, lembrando que as infos se completam, pois no New Process Name tem o Path completo do caminho, o que pode ser o indicador do processo malicioso tambem.Mapeando somente Novo ProcessoMapeando o Command LinePara ter essa opcao, precisa instalar um kb e habilitar apos isso no template para envio do comando completo. Abaixo os links possuem isso muito bem explicado.https://support.microsoft.com/pt-br/kb/3004375https://dirteam.com/sander/2015/02/17/security-thoughts-include-command-line-in-process-creation-events/Caso faca monitoramento dos novos processos, certamente aplicar esse KB e bem interessante e se nao faz o uso de monitorar esse evento, realmente recomendo. Nos utilizamos para armazenar o Elastic Stack no caso.E para finalizar, nao sei porque esse kb e templates nao vem habilatidos por padrao, sera consumo de recursos ? ** Atualizado - Bem lembrado pelo Sieira, algumas aplicacoes infelizmente chamam o command line com usuario/senha e vem desabilitado por padrao.Happy Detection!Rodrigo "Sp0oKeR" Montoro Coisa bem legais por vir no 2.9.8 =)Snort 2.9.7.6 is now available on snort.org athttp://www.snort.org/downloads in the Snort Stable Release section.2015-08-28 - Snort 2.9.8_rc[*] New additions * SMBv2/SMBv3 support for file inspection. * Port override for metadata service in IPS rules. * AppID Lua detector performance profiling. * Perfmon dumps stats at fixed intervals from absolute time. * New preprocessor alert (18:120) to detect SSH tunneling over HTTP * New config option |disable_replace| to disable replace rule option. * New Stream configuration |log_asymmetric_traffic| to controllogging to syslog. * New shell script in tools to create simple Lua detectors for AppID.[*] Improvements * sfip_t refactored to use struct in6_addr for all ip addresses. * Post-detection callback for preprocessors. * AppID support for multiple server/client detectors evaluating onsame flow. * AppID API for DNS packets. * Memory optimizations throughout. * Support sending UDP active responses. * Fix perfmon tracking of pruned packets. * Stability improvements for AppID. * Stability improvements for Stream6 preprocessor. * Added improved support to block malware in FTP preprocessor. * Added support to differentiate between active and passive FTPconnections. * Improvements done in Stream6 preprocessor to avoid having duplicatepackets in the DAQ retry queue. * Resolved an issue where reputation config incorrectly displayed'blacklist' in priority field even though 'whitelist' option was configured.See the Release Notes and ChangeLog for more details.Please submit bugs, questions, and feedback to bugs@snort.org.Happy Snorting!The Snort Release Team Hi