Advanced Sysmon ATT&CK configuration focusing on Detecting the Most Techniques per Data source in MITRE ATT&CK, Provide Visibility into Forensic Artifact Events for UEBA, Detect Exploitation events with wide CVE Coverage, and Risk Scoring of CVE, UEBA, Forensic, and MITRE ATT&CK Events.
提供されるファイルは、自己完結型パッケージとしてシステム監視を始めるための優れた出発点となるでしょう。この設定とその結果から、Sysmon で何が可能かをよく把握できます。お使いの環境によっては、微調整や除外ルールの追加が必要になる場合があることに注意してください。除外ルールが追加されず、1つ以上のルールが毎秒複数回発火する場合は、CPU使用率が高くなる可能性があります。
Pull request と issue チケットは歓迎します。新しい追加事項は、インラインまたは Git 上でクレジットされます。rulename フィールド内に Author=YourName の形式で自分の名前をタグ付けしてください。
この Sysmon ATT&CK 設定は、脅威インテリジェンス、フォレンジック、UEBA のユースケースのために SIEM を強化することを「明示的に」目的として設計されています。SIEM 内のイベントごとにフィールド名を作成するには、rulename フィールド用のキーと値のパーサーを作成する必要があります。
理想的には、「Alert=」フィールドがマークされたアラート用リポジトリ/インデックスと、脅威ハンティングや調査が可能な非アラートの可視性インデックス/リポジトリで使用するのが最適です。後者には、攻撃に至るまでのユーザーの行動と活動に関する追加のコンテキストとストーリーライン情報が含まれます。非アラートの可視性ルールは「Desc=」と「Forensic=」でタグ付けされており、アナリストがケースを構築し、SIEM のエンリッチメントで何が起きているかを特定するためのコンテキスト情報を提供することを目的としています。これらの非アラートの可視性ルールの一部は、アラートルールに引き上げることも、SIEM/SOAR/XDR 内の相関ルールで使用することもできます。
この構成の目標は、EDR と併用して実行すべき究極の可視性を提供する「制御」構成です。
ご存じのとおり、今日の多くの EDR は、タグ付け・分類・リスク評価されたコンテキスト情報やフォレンジック情報をほとんど提供せず、また一部のアラートについては、各環境の違いや一部の検知のベースライン化が難しいため、EDR ベンダーがアラートを発しないことを選択する場合もあります。EDR が十分に機能しないユースケースは数多くあります。EDR は、悪意があるとラベル付けされるほどではない不審なアクティビティの識別に最も優れているわけではありません。ここでの目標は、外部への漏えい、侵入、マルウェア、悪意のあるアクティビティ、および疑わしいアクティビティにつながる可能性のある一般的なユーザーアクティビティをすべて検出することです。ユーザーがレジストリを探索したり、クラウドストレージにデータを送信したり、ランダムな添付ファイルやファイルをダウンロードして実行したり、ファイルをコピーしたりした場合、それを把握したいと考えています。また、レジストリやアーティファクトの場所を監視して監査証跡を残し、フォレンジックアナリストに可能な限り多くの詳細を提供したいと考えています。
フォレンジック用のレジストリキー、ファイルの場所、アーティファクト、行動検知、その他ここで役立つ可能性のあるものがあれば、遠慮なく pull request を送ってください。
ここでの目標は、ノイズのない正確なアラートで可能な限り多くの可視性を確保することです。
このリポジトリに含まれる以下の2つの PowerShell スクリプトは、Sysmon と設定をダウンロードしてインストールし、設定を更新するために毎時実行されるスケジュールタスクを作成します。
Sysmon Install.ps1
SysmonUpdateConfig.ps1
管理者権限で実行してください。
sysmon.exe -accepteula -i sysmonconfig-export.xml
管理者権限で実行してください。
sysmon.exe -c sysmonconfig-export.xml
管理者権限で実行してください。
sysmon.exe -u
Hide:
sc sdset Sysmon D:(D;;DCLCWPDTSD;;;IU)(D;;DCLCWPDTSD;;;SU)(D;;DCLCWPDTSD;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
Restore:
sc sdset Sysmon D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)