Detection is easy on Telegram: “Как мы можем защититься от рассылок *.rdp файлов…”

Как мы можем защититься от рассылок *.rdp файлов ✉️?)

🔤 блокировать на почтовом шлюзе вложения - *.rdp ✋

🔤 ограничить сетевой доступ по rdp вне корпоративной сети (можно межстевым экраном винды 💻)

🔤 ограничить групповой политикой возможности rdp (монтирование дисков, буфер обмена и т.п.)


Computer Configuration\
    Administrative Templates\
        Windows Components\
            Remote Desktop Services\
                Remote Desktop Session Host

Как будем обнаруживать 🔭

🔤 соединение процесса mstsc.exe на удаленный сервер


ProviderName="Microsoft-Windows-Sysmon" and  EventId = 3 and DestinationIp not in [10.0.0.0/8
, 172.16.0.0/12, 169.254.0.0/16] and Image endswith "mstsc.exe"

🔤 создание файла *.rdp


ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFilename endswith ".rdp"

🔤 создание файлов процессом mstsc.exe


ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and  Image endswith "mstsc.exe"

#detection@detectioneasy