manishrawat21/detection-rulesThis repository contains validated detection rules for adversary behaviors observed during APT29 simulation. Each rule was tested against the actual attack data, converted to Splunk SPL, and validated for false positives.
MITRE ATT&CK मूल्यांकन APT29 डेटासेट में 196,071 Sysmon घटनाओं के विश्लेषण से विकसित उत्पादन-तैयार सिग्मा डिटेक्शन नियम।
इस रिपॉजिटरी में APT29 सिमुलेशन के दौरान देखे गए प्रतिकूल व्यवहारों के लिए मान्य डिटेक्शन नियम शामिल हैं। प्रत्येक नियम का वास्तविक हमले के डेटा पर परीक्षण किया गया, Splunk SPL में परिवर्तित किया गया, और गलत सकारात्मकता के लिए मान्य किया गया।
विश्लेषण प्रकाशित: Detection Desk
| MITRE तकनीक | नियम का नाम | गंभीरता | स्थिति |
|---|---|---|---|
| T1003.001 | LSASS प्रक्रिया तक पूर्ण अनुमतियों के साथ पहुंच | उच्च | परीक्षित |
| T1059.001, T1027 | संदिग्ध PowerShell निष्पादन पैटर्न | उच्च | परीक्षित |
| T1547, T1059.006 | असामान्य DLL लोड | उच्च | परीक्षित |
LSASS प्रक्रिया तक पूर्ण अनुमतियों के साथ पहुंच
Splunk क्वेरी: SPL देखें
संदिग्ध PowerShell निष्पादन पैटर्न
Splunk क्वेरी: SPL देखें
Splunk क्वेरी: SPL देखें
sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
प्रत्येक नियम का परीक्षण इसका उपयोग करके किया गया:
मैंने यह समझने के लिए पूर्ण APT29 हमला सिमुलेशन का विश्लेषण किया कि उन्नत स्थायी खतरे वास्तविक वातावरण में कैसे काम करते हैं। लक्ष्य ऐसे डिटेक्शन नियम लिखना था जो वास्तविक प्रतिकूल व्यवहार को पकड़ें, न कि सैद्धांतिक हमलों को।
विश्लेषण श्रृंखला:
ये नियम सुरक्षा समुदाय के लिए साझा किए गए हैं। यदि आप:
पुल अनुरोध सबमिट करें या एक मुद्दा खोलें।
Manish Rawat
डिटेक्शन इंजीनियर | थ्रेट हंटर | CompTIA Security+ और CEH प्रमाणित
MIT लाइसेंस - स्वतंत्र रूप से उपयोग करें, एट्रिब्यूशन की सराहना की जाती है# SOC_Detection_Rules कुछ असामान्य गतिविधियों को पकड़ने के लिए कुछ डिटेक्शन नियम लिखे गए हैं। ये मेरी APT29 डिटेक्शन श्रृंखला के बाद लिखे गए हैं, मुझे उम्मीद है कि ये आपके लिए वैसे ही काम करेंगे जैसे उन्होंने मेरे लिए किए।