T1685.001: 禁用或修改 Windows 事件日志

摘要

攻击者可能禁用或修改 Windows 事件日志，以限制可用于检测和审计的数据。Windows 事件日志记录用户和系统活动，例如登录尝试和进程创建。(Citation: EventLog_Core_Technologies) 这些数据被安全工具和分析师用于生成检测。 EventLog 服务维护来自各种系统组件和应用程序的事件日志。默认情况下，该服务在系统开机时自动启动。由本地安全策略（secpol.msc）维护的审核策略定义了 EventLog 服务记录哪些系统事件。安全审核策略设置可以通过运行 secpol.msc，然后导航到 `Security Settings\Local Policies\Audit Policy` 进行基本审核策略设置，或导航到 `Security Settings\Advanced Audit Policy Configuration` 进行高级审核策略设置来更改。(Citation: Microsoft Audit Policy)(Citation: Microsoft Adv Security Settings) `auditpol.exe` 也可以用于设置审核策略。(Citation: Microsoft auditpol) 攻击者可能针对系统范围的日志记录，或仅针对特定应用程序的日志记录。例如，可以使用 `Set-Service -Name EventLog -Status Stopped` 或 `sc config eventlog start=disabled` 命令禁用 Windows EventLog 服务（随后使用 `Stop-Service -Name EventLog` 手动停止该服务）。此外，可以通过修改 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog` 中的 "Start" 值，然后重启系统使更改生效来禁用该服务。(Citation: Disable_Win_Event_Logging)(Citation: disable_win_evt_logging) 有几种方法可以通过修改注册表键来禁用 EventLog 服务。在没有管理员权限的情况下，攻击者可以修改键 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Security` 中的 "Start" 值，然后重启系统以禁用安全事件日志。(Citation: winser19_file_overwrite_bug_twitter) 在拥有管理员权限的情况下，攻击者可以修改 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-System` 和 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Application` 中的相同值来禁用整个 EventLog。 此外，攻击者可以在命令提示符中使用 `auditpol` 及其子命令来禁用审核或清除审核策略。要启用或禁用指定的设置或审核类别，攻击者可以使用 `/success` 或 `/failure` 参数。例如，`auditpol /set /category:"Account Logon" /success:disable /failure:disable` 会关闭 Account Logon 类别的审核。(Citation: auditpol.exe_STRONTIC) 要清除审核策略，攻击者可以运行以下命令行：`auditpol /clear /y` 或 `auditpol /remove /allusers`。(Citation: T1562.002_redcanaryco)