APT29 Detection Engineering

Regole di rilevamento Sigma pronte per la produzione, sviluppate dall'analisi di 196.071 eventi Sysmon nel dataset MITRE ATT&CK Evaluations APT29.

Panoramica

Questo repository contiene regole di rilevamento validate per i comportamenti avversari osservati durante la simulazione APT29. Ogni regola è stata testata sui dati di attacco reali, convertita in Splunk SPL e validata per i falsi positivi.

Analisi pubblicata su: Detection Desk

Copertura del rilevamento

Regole

Accesso alle credenziali

Accesso al processo LSASS con permessi completi

• Rileva: PowerShell o cmd.exe che accedono a lsass.exe con GrantedAccess 0x1fffff
• MITRE: T1003.001 (Credential Dumping)
• Validato contro: credential dumping APT29 alle 23:05:16, ProcessID 3852
• Falsi positivi: Bassi (strumenti di sicurezza, antivirus)

Query Splunk: Visualizza SPL

Esecuzione

Schemi di esecuzione PowerShell sospetti

• Rileva: PowerShell con encoding, PowerShell generato da Office con tecniche di evasione o attività di rete
• MITRE: T1059.001 (PowerShell), T1027 (Obfuscation), T1566.001 (Phishing)
• Validato contro: esecuzioni PowerShell EventID 1 del dataset APT29
• Falsi positivi: Medi (automazione legittima, distribuzione del software)

Query Splunk: Visualizza SPL

Caricamenti DLL anomali

• Rileva: eseguibili non firmati in Temp che caricano moduli o DLL
• MITRE: T1574(Hijacking Execution), T1059.006(Command & Scripting: Python)
• Validato contro: dataset APT29 EventID 7, caricamento DLL dannose
• Falso positivo: Basso (file legittimi nella cartella TEMP, ambiente di sviluppo Python)

Query Splunk: Visualizza SPL

Utilizzo

Converti in Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Converti in Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Testa nel tuo ambiente

1. Distribuisci nell'ambiente di test SIEM
2. Monitora per 7 giorni
3. Documenta i falsi positivi
4. Aggiungi esclusioni se necessario
5. Promuovi in produzione

Metodologia di validazione

Ogni regola è stata testata utilizzando:

• Dataset MITRE ATT&CK Evaluations APT29 (196.071 eventi)
• Splunk Free Tier con log Sysmon
• Correlazione tra ProcessID e ProcessGuid
• Validazione del traffico di rete
• Analisi dell'albero dei processi padre-figlio

Informazioni su questo progetto

Ho analizzato la simulazione completa dell'attacco APT29 per capire come operano le minacce persistenti avanzate in ambienti reali. L'obiettivo era scrivere regole di rilevamento che intercettino il comportamento reale dell'avversario, non attacchi teorici.

Serie di analisi:

• Parte 1: Accesso iniziale e steganografia
• Parte 2: Credential Dumping e raccolta
• Parte 3: Catena di esecuzione completa
• Parte 4: Movimento laterale tramite PsExec

Contribuisci

Queste regole sono condivise per la community della sicurezza. Se:

• Trovi falsi positivi nel tuo ambiente
• Migliori la logica di rilevamento
• Aggiungi conversioni per altri SIEM

Invia una pull request o apri una issue.

Autore

Manish Rawat

• LinkedIn: linkedin.com/in/rawat-manish
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | Certificato CompTIA Security+ & CEH

Licenza

Licenza MIT - Usa liberamente, attribuzione gradita

SOC_Detection_Rules

Ho scritto alcune regole di rilevamento per individuare alcune attività anomale. Sono state scritte dopo la mia serie sulla rilevazione APT29; spero che funzionino per voi come hanno funzionato per me.