محرك OpenSearch الخلفي لـ pySigma

هذا هو المحرك الخلفي لـ OpenSearch الخاص بـ pySigma. يوفر الحزمة sigma.backends.opensearch مع فئتَي محرك خلفي:

• OpensearchLuceneBackend - يحوّل قواعد Sigma إلى صيغة استعلام Lucene
• OpenSearchPPLBackend - يحوّل قواعد Sigma إلى استعلامات PPL (لغة المعالجة الأنبوبية)

محرك Lucene الخلفي

يدعم محرك Lucene الخلفي تنسيقات الإخراج التالية:

• default: استعلامات OpenSearch عادية بصيغة Lucene
  • تلميح: في لوحة المعلومات يجب التبديل من DQL إلى Lucene
• monitor_rule: بنية JSON لاستيراد قواعد تنبيه OpenSearch

تتم صيانة هذا المحرك الخلفي حاليًا بواسطة:

• Hendrik Bäcker

خلفية

محرك Lucene الخلفي

بما أن الاستعلامات المعتمدة على Lucene مطابقة إلى حد كبير لاستعلامات Elasticsearch من نوع Lucene، فإن معظم كود هذا المحرك الخلفي مأخوذ من pySigma-backend-elasticsearch.

التغييرات الخاصة بـ OpenSearch وتنسيقات الإخراج تتم في هذا المحرك الخلفي (مثل قواعد المراقبة).

محرك PPL الخلفي

محرك PPL (لغة المعالجة الأنبوبية) الخلفي مُنفَّذ من الصفر لدعم لغة الاستعلام الأصلية في OpenSearch. يوفر PPL:

• دعم الارتباطات - دعم مدمج لقواعد ارتباط Sigma

دعم قواعد الارتباط

يدعم محرك PPL الخلفي بالكامل قواعد ارتباط Sigma، مما يتيح اكتشاف السيناريوهات المعقدة متعددة الأحداث:

• event_count - عدّ مرات حدوث الأحداث (مثل اكتشاف هجمات القوة الغاشمة)
• value_count - عدّ القيم المميزة لحقل (مثل رش كلمات المرور)
• temporal - أحداث متعددة مختلفة خلال نافذة زمنية (مثل هجمات متعددة المراحل)

كيفية الاستخدام

إنشاء المخرجات - sigma-cli

محرك Lucene الخلفي

sigma convert \
  -t opensearch \
  -p ecs_windows \
  -f monitor_rule \
  /data/sigma/rules/windows/process_creation/proc_creation_win_whoami_priv.yml

محرك PPL الخلفي

sigma convert \
  -t opensearch-ppl \
  -p ecs_windows \
  /data/sigma/rules/windows/process_creation/proc_creation_win_whoami_priv.yml

إنشاء قواعد تنبيه - Python

محرك Lucene الخلفي

from sigma.backends.opensearch import OpensearchLuceneBackend

from sigma.pipelines.sysmon import sysmon_pipeline
from sigma.pipelines.elasticsearch.windows import ecs_windows

from sigma.collection import SigmaCollection
from sigma.processing.resolver import ProcessingPipelineResolver

# Create our pipeline resolver
piperesolver = ProcessingPipelineResolver()

# Add wanted pipelines
piperesolver.add_pipeline_class(ecs_windows())
piperesolver.add_pipeline_class(sysmon_pipeline())

# Create a single sorted and prioritzed pipeline
resolved_pipeline = piperesolver.resolve(piperesolver.pipelines)

# Instantiate backend, using our resolved pipeline
# and some backend parameter
backend = OpensearchLuceneBackend(resolved_pipeline, index_names=['logs-*-*', 'beats-*'], monitor_interval=10, monitor_interval_unit="MINUTES")

rules = SigmaCollection.from_yaml("""
title: Run Whoami Showing Privileges
id: 97a80ec7-0e2f-4d05-9ef4-65760e634f6b
status: experimental
description: Detects a whoami.exe executed with the /priv command line flag instructing the tool to show all current user privieleges. This is often used after a privilege escalation attempt. 
references:
    - https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/whoami
author: Florian Roth
date: 2021/05/05
modified: 2022/05/13
tags:
    - attack.privilege_escalation
    - attack.discovery
    - attack.t1033
logsource:
    category: process_creation
    product: windows
detection:
    selection_img:
        - Image|endswith: '\whoami.exe'
        - OriginalFileName: 'whoami.exe'
    selection_cli:
        CommandLine|contains: '/priv'
    condition: all of selection*
falsepositives:
    - Administrative activity (rare lookups on current privileges)
level: high
""")

# Print converted rule in Lucene syntax
print("Lucene Result: \n" + "\n".join(backend.convert(rules)))

# Print converted rule ready for dsl syntax
print("DSL Result: \n" + json.dumps(backend.convert(rules, output_format="dsl_lucene")[0], indent=2))

# Generate a JSON structure to be imported as monitor rule
print("Monitor Rule Result: \n" + backend.convert(rules, output_format="monitor_rule"))

نتيجة Lucene:

winlog.channel:Microsoft\-Windows\-Sysmon\/Operational AND (event.code:1 AND ((process.executable:*\\whoami.exe OR process.pe.original_file_name:whoami.exe) AND process.command_line:*\/priv*))

نتيجة DSL:

{
  "query": {
    "bool": {
      "must": [
        {
          "query_string": {
            "query": "winlog.channel:Microsoft\\-Windows\\-Sysmon\\/Operational AND (event.code:1 AND (winlog.channel:Microsoft\\-Windows\\-Sysmon\\/Operational AND (event.code:1 AND ((process.executable:*\\\\whoami.exe OR process.pe.original_file_name:whoami.exe) AND process.command_line:*\\/priv*))))",
            "analyze_wildcard": true
          }
        }
      ]
    }
  }
}

نتيجة قاعدة المراقبة:

{
  "type": "monitor",
  "name": "SIGMA - Run Whoami Showing Privileges",
  "description": "Detects a whoami.exe executed with the /priv command line flag instructing the tool to show all current user privieleges. This is often used after a privilege escalation attempt.",
  "enabled": true,
  "schedule": {
    "period": {
      "interval": 10,
      "unit": "MINUTES"
    }
  },
  "inputs": [
    {
      "search": {
        "indices": [
          "logs-*-*",
          "beats-*"
        ],
        "query": {
          "size": 1,
          "query": {
            "bool": {
              "must": [
                {
                  "query_string": {
                    "query": "winlog.channel:Microsoft\\-Windows\\-Sysmon\\/Operational AND (event.code:1 AND (winlog.channel:Microsoft\\-Windows\\-Sysmon\\/Operational AND (event.code:1 AND (winlog.channel:Microsoft\\-Windows\\-Sysmon\\/Operational AND (event.code:1 AND ((process.executable:*\\\\whoami.exe OR process.pe.original_file_name:whoami.exe) AND process.command_line:*\\/priv*))))))",
                    "analyze_wildcard": true
                  }
                }
              ]
            }
          }
        }
      }
    }
  ],
  "tags": [
    "attack-privilege_escalation",
    "attack-discovery",
    "attack-t1033"
  ],
  "triggers": [
    {
      "name": "generated-trigger",
      "severity": 2,
      "condition": {
        "script": {
          "source": "ctx.results[0].hits.total.value > 0",
          "lang": "painless"
        }
      },
      "actions": []
    }
  ],
  "sigma_meta_data": {
    "rule_id": "97a80ec7-0e2f-4d05-9ef4-65760e634f6b",
    "threat": []
  },
  "references": [
    "https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/whoami"
  ]
}

محرك PPL الخلفي

from sigma.backends.opensearch.opensearch_ppl import OpenSearchPPLBackend
from sigma.collection import SigmaCollection

# Instantiate PPL backend
backend = OpenSearchPPLBackend()