APT29 Detection Engineering

Produktionsreife Sigma-Erkennungsregeln, entwickelt aus der Analyse von 196.071 Sysmon-Ereignissen im MITRE ATT&CK Evaluations APT29-Datensatz.

Überblick

Dieses Repository enthält validierte Erkennungsregeln für Angreiferverhalten, das während der APT29-Simulation beobachtet wurde. Jede Regel wurde gegen die tatsächlichen Angriffsdaten getestet, in Splunk SPL konvertiert und auf False Positives validiert.

Analyse veröffentlicht unter: Detection Desk

Erkennungsabdeckung

MITRE-Technik	Regelname	Schweregrad	Status
T1003.001	LSASS-Prozesszugriff mit vollständigen Berechtigungen	Hoch	Getestet
T1059.001, T1027	Verdächtige PowerShell-Ausführungsmuster	Hoch	Getestet
T1547, T1059.006	Abnormale DLL-Ladevorgänge	Hoch	Getestet

Regeln

Credential Access

LSASS-Prozesszugriff mit vollständigen Berechtigungen

• Erkennt: PowerShell oder cmd.exe, die mit GrantedAccess 0x1fffff auf lsass.exe zugreifen
• MITRE: T1003.001 (Credential Dumping)
• Validiert gegen: APT29 Credential Dumping um 23:05:16, ProcessID 3852
• False Positives: Niedrig (Sicherheitstools, Antivirus)

Splunk-Abfrage: SPL anzeigen

Ausführung

Verdächtige PowerShell-Ausführungsmuster

• Erkennt: PowerShell mit Encoding, von Office gestartete PowerShell mit Evasion- oder Netzwerkaktivität
• MITRE: T1059.001 (PowerShell), T1027 (Obfuscation), T1566.001 (Phishing)
• Validiert gegen: APT29-Datensatz EventID 1 PowerShell-Ausführungen
• False Positives: Mittel (legitime Automatisierung, Software-Bereitstellung)

Splunk-Abfrage: SPL anzeigen

Abnormale DLL-Ladevorgänge

• Erkennt: Erkennt unsignierte ausführbare Dateien in Temp, die Module oder DLLs laden
• MITRE: T1574(Hijacking Execution), T1059.006(Command & Scripting: Python)
• Validiert gegen: APT29-Datensatz EventID 7 Malicious DLL Loading
• False Positive: Niedrig (legitime Dateien im TEMP-Verzeichnis, Python-Entwicklungsumgebung )

Splunk-Abfrage: SPL anzeigen

Verwendung

Nach Splunk konvertieren

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Nach Elastic konvertieren

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

In Ihrer Umgebung testen

1. In SIEM-Testumgebung bereitstellen
2. 7 Tage lang überwachen
3. False Positives dokumentieren
4. Bei Bedarf Ausschlüsse hinzufügen
5. In die Produktion überführen

Validierungsmethodik

Jede Regel wurde getestet mit:

• MITRE ATT&CK Evaluations APT29-Datensatz (196.071 Ereignisse)
• Splunk Free Tier mit Sysmon-Logs
• ProcessID- und ProcessGuid-Korrelation
• Netzwerkverkehrsvalidierung
• Parent-Child-Prozessbaum-Analyse

Über dieses Projekt

Ich habe die vollständige APT29-Angriffssimulation analysiert, um zu verstehen, wie Advanced Persistent Threats in realen Umgebungen operieren. Das Ziel war, Erkennungsregeln zu schreiben, die tatsächliches Angreiferverhalten erkennen, nicht theoretische Angriffe.

Analysereihe:

• Teil 1: Initial Access und Steganographie
• Teil 2: Credential Dumping und Collection
• Teil 3: Vollständige Ausführungskette
• Teil 4: Laterale Bewegung via PsExec

Mitwirken

Diese Regeln werden für die Sicherheitscommunity geteilt. Wenn Sie:

• False Positives in Ihrer Umgebung finden
• Die Erkennungslogik verbessern
• Konvertierungen für andere SIEMs hinzufügen

Reichen Sie einen Pull Request ein oder eröffnen Sie ein Issue.

Autor

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• E-Mail: [email protected]

Detection Engineer | Threat Hunter | CompTIA Security+ & CEH Certified

Lizenz

MIT License - Use freely, attribution appreciated# SOC_Detection_Rules Ich habe einige Erkennungsregeln geschrieben, um abnormale Aktivitäten zu erkennen. Diese wurden nach meiner APT29-Erkennungsserie verfasst. Ich hoffe, sie funktionieren für Sie genauso wie für mich.