manishrawat21/detection-rulesيحتوي هذا المستودع على قواعد كشف مُوثّقة لسلوكيات الخصوم التي تمت ملاحظتها أثناء محاكاة APT29. تم اختبار كل قاعدة مقابل بيانات الهجوم الفعلية، وتحويلها إلى Splunk SPL، والتحقق من صحتها من حيث الإيجابيات الكاذبة.
قواعد كشف Sigma جاهزة للإنتاج تم تطويرها من تحليل 196,071 حدث Sysmon في مجموعة بيانات MITRE ATT&CK Evaluations APT29.
يحتوي هذا المستودع على قواعد كشف مُتحقق منها لسلوكيات الخصوم التي لوحظت أثناء محاكاة APT29. تم اختبار كل قاعدة مقابل بيانات الهجوم الفعلية، وتحويلها إلى Splunk SPL، والتحقق من الإيجابيات الكاذبة.
التحليل منشور على: Detection Desk
| تقنية MITRE | اسم القاعدة | الخطورة | الحالة |
|---|---|---|---|
| T1003.001 | LSASS Process Access with Full Permissions | عالية | مُختبرة |
| T1059.001, T1027 | Suspicious PowerShell Execution Patterns | عالية | مُختبرة |
| T1547, T1059.006 | Abnormal DLL Loads | عالية | مُختبرة |
LSASS Process Access with Full Permissions
استعلام Splunk: عرض SPL
Suspicious PowerShell Execution Patterns
استعلام Splunk: عرض SPL
استعلام Splunk: عرض SPL
sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
تم اختبار كل قاعدة باستخدام:
قمت بتحليل محاكاة هجوم APT29 الكاملة لفهم كيفية عمل التهديدات المستمرة المتقدمة في البيئات الحقيقية. كان الهدف هو كتابة قواعد كشف تلتقط سلوك الخصوم الفعلي، وليس الهجمات النظرية.
سلسلة التحليل:
تتم مشاركة هذه القواعد لمجتمع الأمن. إذا كنت:
أرسل طلب سحب أو افتح مشكلة.
Manish Rawat
Detection Engineer | Threat Hunter | CompTIA Security+ & CEH Certified
MIT License - Use freely, attribution appreciated# SOC_Detection_Rules كتبت بعض قواعد الكشف لالتقاط بعض الأنشطة غير الطبيعية. تمت كتابتها بعد سلسلة كشف APT29 الخاصة بي، وآمل أن تعمل لكم كما عملت لي.