Advanced Sysmon ATT&CK configuration focusing on Detecting the Most Techniques per Data source in MITRE ATT&CK, Provide Visibility into Forensic Artifact Events for UEBA, Detect Exploitation events with wide CVE Coverage, and Risk Scoring of CVE, UEBA, Forensic, and MITRE ATT&CK Events.
Die bereitgestellte Datei sollte als großartiger Ausgangspunkt für die Systemüberwachung in einem in sich geschlossenen Paket dienen. Diese Konfiguration und die Ergebnisse sollten Ihnen einen guten Eindruck davon vermitteln, was mit Sysmon möglich ist. Bitte beachten Sie, dass Sie je nach Umgebung Feinabstimmungen vornehmen und Ausschlüsse hinzufügen müssen. Wenn keine Ausschlüsse hinzugefügt werden und eine oder mehrere Regeln mehrfach pro Sekunde ausgelöst werden, kann eine hohe CPU-Auslastung auftreten.
Pull Requests und Issue-Tickets sind willkommen. Alle neuen Ergänzungen werden inline oder im Git-Repository namentlich genannt. Kennzeichnen Sie Ihren Namen mit Author=YourName im Feld rulename.
Diese Sysmon-ATT&CK-Konfiguration ist „explizit“ dazu gedacht, Ihr SIEM für Threat-Intelligence-, Forensik- und UEBA-Anwendungsfälle anzureichern. Sie sollten einen Schlüssel-Wert-Parser für das Feld rulename erstellen, um pro Ereignis Feldnamen in Ihrem SIEM zu erstellen.
Idealerweise wird sie am besten zusammen mit einem Alerting-Repository/-Index verwendet, in dem das Feld „Alert=“ gesetzt ist, sowie einem Nicht-Alerting-Sichtbarkeitsindex/-Repository, in dem Threat Hunting und Untersuchungen durchgeführt werden können und das zusätzlichen Kontext sowie Storyline-Informationen über das Benutzerverhalten und die Aktivitäten enthält, die zu einem Angriff führen. Nicht-Alerting-Sichtbarkeitsregeln sind mit „Desc=“ und „Forensic=“ gekennzeichnet und sollen Analysten Kontextinformationen liefern, um Fälle aufzubauen und mithilfe von SIEM-Anreicherungen zu identifizieren, was vor sich geht. Einige dieser Nicht-Alerting-Sichtbarkeitsregeln können zu den Alerting-Regeln hochgestuft oder mit Korrelationsregeln in einem SIEM/SOAR/XDR verwendet werden.
Das Ziel dieser Konfiguration ist eine „Control“-Konfiguration, die ultimative Sichtbarkeit bietet und in Verbindung mit einer EDR-Lösung betrieben werden sollte.
Wie wir wissen, liefern viele EDR-Lösungen heute nur wenig Kontextinformationen – forensische Informationen, die getaggt, kategorisiert und risikobewertet sind, und einige Alarme, auf die EDR-Anbieter bewusst verzichten, da sich die Umgebungen voneinander unterscheiden und es schwierig ist, für einige Erkennungen eine Baseline zu definieren. Es gibt viele Anwendungsfälle, in denen EDR-Lösungen an ihre Grenzen stoßen. Sie sind nicht besonders gut darin, verdächtige Aktivitäten zu erkennen, die nicht ganz als bösartig eingestuft werden können. Das Ziel hier ist es, alle üblichen Benutzeraktivitäten zu erkennen, die zu Exfiltration, Infiltration, Malware, bösartigen Aktivitäten und fragwürdigen Aktivitäten führen könnten. Wenn ein Benutzer in der Registrierung herumstöbert, Daten in einen Cloud-Speicher sendet, beliebige Anhänge und Dateien herunterlädt und ausführt und/oder Dateien kopiert, wollen wir das wissen. Wir möchten außerdem einen Audit-Trail hinterlassen, indem wir die Registrierung und Artefakt-Speicherorte überwachen und unseren Forensik-Analysten so viele Details wie möglich bereitstellen.
Falls Sie forensische Registrierungsschlüssel, Dateispeicherorte, Artefakte, Verhaltenserkennungen oder etwas anderes haben, das hier nützlich sein könnte, reichen Sie gerne einen Pull Request ein.
Das Ziel hierbei ist so viel Sichtbarkeit wie möglich mit präzisen Alarmen, die nicht verrauscht sind.
Die beiden untenstehenden PowerShell-Skripte, die in diesem Repository enthalten sind, laden Sysmon und die Konfiguration herunter, installieren sie und erstellen einen geplanten Task, der stündlich ausgeführt wird, um die Konfiguration zu aktualisieren.
Sysmon Install.ps1
SysmonUpdateConfig.ps1
Mit Administratorrechten ausführen.
sysmon.exe -accepteula -i sysmonconfig-export.xml
Mit Administratorrechten ausführen.
sysmon.exe -c sysmonconfig-export.xml
Mit Administratorrechten ausführen.
sysmon.exe -u
Hide:
sc sdset Sysmon D:(D;;DCLCWPDTSD;;;IU)(D;;DCLCWPDTSD;;;SU)(D;;DCLCWPDTSD;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
Restore:
sc sdset Sysmon D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)