PsExec / Geçici Servis ile Lateral Hareket Müdahalesi
PsExec tarzı araçların uzak SCM üzerinden geçici servis oluşturarak lateral hareket gerçekleştirmesinin (T1569.002 + T1021.002) tespiti, izolasyonu ve kalıcı giderilmesi.
PSEXESVC.EXE bırakılması ve her çalıştırmada yeni servis oluşturulması (EID 7045 / EID 4697) varsayılan günlüklerde tespit fırsatı sunar. Müdahale sırasında PSEXESVC yürütme zamanına yakın oluşturulan ikili dosyalar ilişkilendirilmeli; SMB bağlantısı ve named pipe aktivitesi korelasyona dahil edilmelidir.Prepare
4 adım- SMB/RPC ağ akışı görünürlüğünü doğrula
Ağ güvenliği izleme platformunun SMB (445/TCP) ve RPC (135/TCP + dinamik portlar) trafiğini workstation'dan workstation'a kaydedip kaydetmediğini doğrula; doğu-batı lateral hareket bu görünürlüğe bağlıdır
- İdari paylaşım envanterini al
Ortamda `ADMIN$` ve `C$` paylaşımlarına SMB erişiminin kimler tarafından kullanıldığını belgele; meşru PsExec/deployment araçlarını allowlist'e al
- Merkezi EID 7045 korelasyon kuralı hazırla
Kısa ömürlü servis imzasını SIEM'de tanımla: EID 7045 (servis kurulumu) → 60 saniye içinde EID 7036 "stopped" veya registry key silme
- Etkilenmiş makine listesi hazırla
Kimlik bilgisi çalındığına veya lateral harekete dair gösterge bulunan hesapların etkinlik geçmişini SIEM'den çek; hareket başlangıç noktasını belirle
Detect & Analyze
6 adım- Hedef makinede EID 7045 kısa ömür korelasyonu
SIEM'de EID 7045 ardından çok kısa süre içinde servis silme veya EID 7036 "stopped" dizisini ara; `ServiceFileName` geçici isim veya temp dizine işaret ediyorsa PsExec tarzı kullanım imzası