Notes et Analyse d'Ingénierie de Détection

Ce référentiel documente des recherches pratiques en détection basées sur des tests en laboratoire, l'analyse de logs et des workflows SOC réels.

L'accent est mis sur la manière dont les techniques des attaquants apparaissent réellement dans les logs, quelle logique de détection fonctionne en pratique, ce qui échoue et où les faux positifs sont introduits. Tout le contenu est rédigé d'un point de vue défensif pour les analystes et les ingénieurs en détection.

Ceci n'est pas un outillage offensif ou du développement d'exploits.

---

Ce que ce référentiel contient

Détournement de DLL et Chargement Latéral

Notes d'analyse et de détection pour l'activité de détournement de DLL et de chargement latéral sur les systèmes Windows.

Sujets abordés :

• Comment les exécutables légitimes chargent des DLL malveillantes
• Chemins d'exécution courants abusés lors du chargement latéral
• Corrélation entre l'exécution de processus, la création de fichiers et les événements de chargement d'image
• Logique de détection basée sur le comportement plutôt que sur la correspondance de noms de fichiers
• Faux positifs observés lors de tests réels

Faux positifs courants identifiés :

• Applications basées sur Chrome et Chromium
• Visual Studio Code
• Exécutions Python
• Applications de bureau basées sur Electron

L'accent est mis sur la séparation du comportement attendu des applications de l'activité qui mérite réellement une investigation.

---

Détection des commandes PowerShell encodées

Recherche sur la manière dont les commandes PowerShell encodées apparaissent dans les logs et comment les attaquants contournent les détections simples.

Comprend :

• Comportement de journalisation ScriptBlock et de module (4104, 4103, 400, 800)
• Pourquoi l'obfuscation des paramètres brise les détections basées sur des mots-clés
• Requêtes Splunk qui ont échoué et pourquoi
• Approches de détection basées sur les expressions régulières
• Détections contextuelles pour réduire le bruit
• Exemple de logique de détection de style Sigma construite à partir d'observations en laboratoire

Tous les tests sont effectués avec une télémétrie réaliste plutôt qu'avec des configurations d'entreprise idéales.

---

Philosophie de détection

Une détection efficace repose rarement sur des indicateurs uniques.

Ce référentiel se concentre sur :

• La corrélation comportementale plutôt que les signatures statiques
• Comprendre comment les plateformes SIEM indexent et tokenisent les données
• Réduire les faux positifs avant d'augmenter le volume d'alertes
• Rédiger des détections que les analystes peuvent réellement investiguer

Question directrice : Cette détection survivrait-elle dans un environnement SOC réel ?

---

À qui s'adresse ce référentiel

• Analystes SOC
• Ingénieurs en détection
• Chasseurs de menaces
• Praticiens de l'équipe bleue ajustant les détections
• Professionnels de la sécurité apprenant comment les attaques se manifestent dans les logs

---

Ouvert à la collaboration

Intéressé à travailler avec des équipes sur :

• Cadres d'ingénierie de détection
• Opérations de chasse aux menaces
• Passage à l'échelle et optimisation du SOC

Si vous résolvez des problèmes de détection difficiles, parlons-en.

---

Soutenir le projet

Si vous trouvez ce référentiel utile ou si vous en apprenez quelque chose, envisagez de lui donner une étoile.
Cela aide la recherche à atteindre plus d'analystes et encourage la poursuite du travail.

---

Connectez-vous et suivez le travail

GitHub
https://github.com/Manishrawat21

LinkedIn
https://www.linkedin.com/in/manishrawat-soc/

Medium
Articles de détection et recherches en laboratoire

---

Remarques

Toutes les requêtes et logiques de détection sont des points de départ et doivent être adaptées à votre environnement.

Ce référentiel évolue à mesure que de nouvelles recherches en détection sont ajoutées.