Ingegneria del Rilevamento APT29

Regole di rilevamento Sigma pronte per la produzione, sviluppate dall'analisi di 196.071 eventi Sysmon nel dataset APT29 delle MITRE ATT&CK Evaluations.

Panoramica

Questo repository contiene regole di rilevamento validate per comportamenti avversari osservati durante la simulazione APT29. Ogni regola è stata testata contro i dati reali dell'attacco, convertita in Splunk SPL e validata per i falsi positivi.

Analisi pubblicata su: Detection Desk

Copertura del Rilevamento

Tecnica MITRE	Nome Regola	Severità	Stato
T1003.001	Accesso al Processo LSASS con Permessi Completi	Alta	Testata
T1059.001, T1027	Pattern di Esecuzione PowerShell Sospetti	Alta	Testata
T1547, T1059.006	Caricamenti DLL Anomali	Alta	Testata

Regole

Accesso alle Credenziali

Accesso al Processo LSASS con Permessi Completi

• Rileva: PowerShell o cmd.exe che accedono a lsass.exe con GrantedAccess 0x1fffff
• MITRE: T1003.001 (Credential Dumping)
• Validata Contro: Credential dumping APT29 alle 23:05:16, ProcessID 3852
• Falsi Positivi: Bassi (strumenti di sicurezza, antivirus)

Query Splunk: Visualizza SPL

Esecuzione

Pattern di Esecuzione PowerShell Sospetti

• Rileva: PowerShell con codifica, PowerShell generato da Office con evasione o attività di rete
• MITRE: T1059.001 (PowerShell), T1027 (Obfuscation), T1566.001 (Phishing)
• Validata Contro: Esecuzioni PowerShell EventID 1 del dataset APT29
• Falsi Positivi: Medi (automazione legittima, distribuzione software)

Query Splunk: Visualizza SPL

Caricamenti DLL Anomali

• Rileva: Rileva eseguibili non firmati in Temp che caricano moduli o DLL
• MITRE: T1574(Hijacking Execution), T1059.006(Command & Scripting: Python)
• Validata Contro: Caricamento DLL Malevolo EventID 7 del dataset APT29
• Falso Positivo: Basso (File legittimi nella directory TEMP, ambiente di sviluppo Python )

Query Splunk: Visualizza SPL

Utilizzo

Convertire in Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Convertire in Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Testare nel Tuo Ambiente

1. Distribuisci nell'ambiente di test SIEM
2. Monitora per 7 giorni
3. Documenta i falsi positivi
4. Aggiungi esclusioni secondo necessità
5. Promuovi in produzione

Metodologia di Validazione

Ogni regola è stata testata utilizzando:

• Dataset APT29 delle MITRE ATT&CK Evaluations (196.071 eventi)
• Splunk Free Tier con log Sysmon
• Correlazione ProcessID e ProcessGuid
• Validazione del traffico di rete
• Analisi dell'albero dei processi padre-figlio

Informazioni su Questo Progetto

Ho analizzato la completa simulazione dell'attacco APT29 per comprendere come le minacce persistenti avanzate operano in ambienti reali. L'obiettivo era scrivere regole di rilevamento che catturino il comportamento effettivo degli avversari, non attacchi teorici.

Serie di analisi:

• Parte 1: Accesso Iniziale e Steganografia
• Parte 2: Credential Dumping e Raccolta
• Parte 3: Catena di Esecuzione Completa
• Parte 4: Movimento Laterale tramite PsExec

Contribuire

Queste regole sono condivise per la comunità della sicurezza. Se tu:

• Trovi falsi positivi nel tuo ambiente
• Migliori la logica di rilevamento
• Aggiungi conversioni per altri SIEM

Invia una pull request o apri una issue.

Autore

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | Certificato CompTIA Security+ & CEH

Licenza

MIT License - Usa liberamente, l'attribuzione è apprezzata# SOC_Detection_Rules Ho scritto alcune regole di rilevamento per catturare alcune attività anomale. Queste sono state scritte dopo la mia serie di rilevamento APT29, spero che funzionino per te come hanno funzionato per me.