Ingénierie de détection APT29

Règles de détection Sigma prêtes pour la production, développées à partir de l'analyse de 196 071 événements Sysmon dans le jeu de données APT29 des évaluations MITRE ATT&CK.

Aperçu

Ce dépôt contient des règles de détection validées pour les comportements d'adversaires observés lors de la simulation APT29. Chaque règle a été testée contre les données d'attaque réelles, convertie en Splunk SPL et validée pour les faux positifs.

Analyse publiée sur : Detection Desk

Couverture de détection

Technique MITRE	Nom de la règle	Sévérité	Statut
T1003.001	Accès au processus LSASS avec toutes les permissions	Élevée	Testée
T1059.001, T1027	Modèles d'exécution PowerShell suspects	Élevée	Testée
T1547, T1059.006	Chargements DLL anormaux	Élevée	Testée

Règles

Accès aux identifiants

Accès au processus LSASS avec toutes les permissions

• Détecte : PowerShell ou cmd.exe accédant à lsass.exe avec GrantedAccess 0x1fffff
• MITRE : T1003.001 (Extraction d'identifiants)
• Validé contre : Extraction d'identifiants APT29 à 23:05:16, ProcessID 3852
• Faux positifs : Faible (outils de sécurité, antivirus)

Requête Splunk : Voir SPL

Exécution

Modèles d'exécution PowerShell suspects

• Détecte : PowerShell avec encodage, PowerShell lancé par Office avec évasion ou activité réseau
• MITRE : T1059.001 (PowerShell), T1027 (Obfuscation), T1566.001 (Hameçonnage)
• Validé contre : Exécutions PowerShell EventID 1 du jeu de données APT29
• Faux positifs : Moyen (automatisation légitime, déploiement de logiciels)

Requête Splunk : Voir SPL

Chargements DLL anormaux

• Détecte : Détecte les exécutables non signés dans Temp chargeant des modules ou DLL
• MITRE : T1574(Détournement d'exécution), T1059.006(Commande et script : Python)
• Validé contre : Chargement de DLL malveillantes EventID 7 du jeu de données APT29
• Faux positifs : Faible (fichiers légitimes dans le répertoire TEMP, environnement de développement Python )

Requête Splunk : Voir SPL

Utilisation

Convertir vers Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Convertir vers Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Tester dans votre environnement

1. Déployer dans un environnement de test SIEM
2. Surveiller pendant 7 jours
3. Documenter les faux positifs
4. Ajouter des exclusions selon les besoins
5. Promouvoir en production

Méthodologie de validation

Chaque règle a été testée à l'aide de :

• Jeu de données APT29 des évaluations MITRE ATT&CK (196 071 événements)
• Splunk Free Tier avec journaux Sysmon
• Corrélation ProcessID et ProcessGuid
• Validation du trafic réseau
• Analyse de l'arborescence des processus parent-enfant

À propos de ce projet

J'ai analysé la simulation complète de l'attaque APT29 pour comprendre comment les menaces persistantes avancées opèrent dans des environnements réels. L'objectif était d'écrire des règles de détection qui capturent le comportement réel des adversaires, et non des attaques théoriques.

Série d'analyses :

• Partie 1 : Accès initial et stéganographie
• Partie 2 : Extraction d'identifiants et collecte
• Partie 3 : Chaîne d'exécution complète
• Partie 4 : Mouvement latéral via PsExec

Contribution

Ces règles sont partagées pour la communauté de la sécurité. Si vous :

• Trouvez des faux positifs dans votre environnement
• Améliorez la logique de détection
• Ajoutez des conversions pour d'autres SIEM

Soumettez une pull request ou ouvrez une issue.

Auteur

Manish Rawat

• LinkedIn : linkedin.com/in/manishrawat21
• Substack : Detection Desk
• Email : [email protected]

Ingénieur en détection | Chasseur de menaces | Certifié CompTIA Security+ et CEH

Licence

Licence MIT - Utilisation libre, attribution appréciée# SOC_Detection_Rules J'ai écrit quelques règles de détection pour capturer certaines activités anormales. Elles ont été rédigées après ma série de détection APT29, j'espère qu'elles fonctionneront pour vous comme elles l'ont fait pour moi.