Ingeniería de Detección de APT29

Reglas de detección Sigma listas para producción, desarrolladas a partir del análisis de 196.071 eventos de Sysmon en el conjunto de datos APT29 de MITRE ATT&CK Evaluations.

Descripción general

Este repositorio contiene reglas de detección validadas para comportamientos de adversarios observados durante la simulación de APT29. Cada regla fue probada contra los datos reales del ataque, convertida a Splunk SPL y validada para falsos positivos.

Análisis publicado en: Detection Desk

Cobertura de detección

Técnica MITRE	Nombre de la regla	Severidad	Estado
T1003.001	Acceso al proceso LSASS con permisos completos	Alta	Probada
T1059.001, T1027	Patrones sospechosos de ejecución de PowerShell	Alta	Probada
T1547, T1059.006	Cargas anómalas de DLL	Alta	Probada

Reglas

Acceso a credenciales

Acceso al proceso LSASS con permisos completos

• Detecta: PowerShell o cmd.exe accediendo a lsass.exe con GrantedAccess 0x1fffff
• MITRE: T1003.001 (Volcado de credenciales)
• Validado contra: Volcado de credenciales de APT29 a las 23:05:16, ProcessID 3852
• Falsos positivos: Bajo (herramientas de seguridad, antivirus)

Consulta de Splunk: Ver SPL

Ejecución

Patrones sospechosos de ejecución de PowerShell

• Detecta: PowerShell con codificación, PowerShell iniciado desde Office con evasión o actividad de red
• MITRE: T1059.001 (PowerShell), T1027 (Ofuscación), T1566.001 (Phishing)
• Validado contra: Ejecuciones de PowerShell con EventID 1 del conjunto de datos APT29
• Falsos positivos: Medio (automatización legítima, despliegue de software)

Consulta de Splunk: Ver SPL

Cargas anómalas de DLL

• Detecta: Detecta ejecutables sin firmar en Temp cargando módulos o DLLs
• MITRE: T1574(Secuestro de ejecución), T1059.006(Comando y scripting: Python)
• Validado contra: Carga maliciosa de DLL con EventID 7 del conjunto de datos APT29
• Falso positivo: Bajo (archivos legítimos en el directorio TEMP, entorno de desarrollo de Python)

Consulta de Splunk: Ver SPL

Uso

Convertir a Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Convertir a Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Probar en su entorno

1. Desplegar en un entorno de pruebas del SIEM
2. Monitorizar durante 7 días
3. Documentar los falsos positivos
4. Añadir exclusiones según sea necesario
5. Promover a producción

Metodología de validación

Cada regla fue probada usando:

• Conjunto de datos APT29 de MITRE ATT&CK Evaluations (196.071 eventos)
• Splunk Free Tier con registros de Sysmon
• Correlación de ProcessID y ProcessGuid
• Validación del tráfico de red
• Análisis del árbol de procesos padre-hijo

Acerca de este proyecto

Analicé la simulación completa del ataque APT29 para entender cómo operan las amenazas persistentes avanzadas en entornos reales. El objetivo era escribir reglas de detección que capturen el comportamiento real de los adversarios, no ataques teóricos.

Serie de análisis:

• Parte 1: Acceso inicial y esteganografía
• Parte 2: Volcado de credenciales y recolección
• Parte 3: Cadena de ejecución completa
• Parte 4: Movimiento lateral mediante PsExec

Contribuciones

Estas reglas se comparten para la comunidad de seguridad. Si usted:

• Encuentra falsos positivos en su entorno
• Mejora la lógica de detección
• Añade conversiones para otros SIEMs

Envíe una pull request o abra un issue.

Autor

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | Certificado en CompTIA Security+ y CEH

Licencia

Licencia MIT - Úselo libremente, se agradece la atribución# SOC_Detection_Rules Escribí algunas reglas de detección para capturar algunas actividades anómalas. Estas fueron escritas después de mi serie de detección de APT29, espero que funcionen para ustedes como funcionaron para mí.