APT29 検出エンジニアリング

MITRE ATT&CK Evaluations の APT29 データセットに含まれる 196,071 件の Sysmon イベントの分析から開発された、実運用可能な Sigma 検出ルール。

概要

このリポジトリには、APT29 シミュレーション中に観測された攻撃者行動に対する検証済みの検出ルールが含まれています。各ルールは実際の攻撃データに対してテストされ、Splunk SPL に変換され、誤検知について検証されました。

分析の公開先: Detection Desk

検出カバレッジ

MITRE テクニック	ルール名	重大度	ステータス
T1003.001	LSASS プロセスへのフルパーミッションでのアクセス	High	テスト済み
T1059.001, T1027	不審な PowerShell 実行パターン	High	テスト済み
T1547, T1059.006	異常な DLL ロード	High	テスト済み

ルール

資格情報アクセス

LSASS プロセスへのフルパーミッションでのアクセス

• 検出対象: PowerShell または cmd.exe が GrantedAccess 0x1fffff で lsass.exe にアクセス
• MITRE: T1003.001 (資格情報ダンプ)
• 検証対象: 23:05:16 の APT29 資格情報ダンプ、ProcessID 3852
• 誤検知: 低 (セキュリティツール、アンチウイルス)

Splunk クエリ: SPL を表示

実行

不審な PowerShell 実行パターン

• 検出対象: エンコードを伴う PowerShell、回避またはネットワーク活動を伴う Office から起動された PowerShell
• MITRE: T1059.001 (PowerShell)、T1027 (難読化)、T1566.001 (フィッシング)
• 検証対象: APT29 データセットの EventID 1 PowerShell 実行
• 誤検知: 中 (正規の自動化、ソフトウェア展開)

Splunk クエリ: SPL を表示

異常な DLL ロード

• 検出対象: Temp 内の未署名実行ファイルがモジュールまたは DLL をロード
• MITRE: T1574(実行のハイジャック)、T1059.006(コマンド & スクリプティング: Python)
• 検証対象: APT29 データセットの EventID 7 悪意のある DLL ロード
• 誤検知: 低 (TEMP ディレクトリ内の正規ファイル、Python 開発環境)

Splunk クエリ: SPL を表示

使用方法

Splunk への変換

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Elastic への変換

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

自環境でのテスト

1. SIEM テスト環境にデプロイ
2. 7 日間監視
3. 誤検知を記録
4. 必要に応じて除外を追加
5. 本番環境へ昇格

検証方法論

各ルールは以下を使用してテストされました:

• MITRE ATT&CK Evaluations APT29 データセット (196,071 イベント)
• Sysmon ログを使用した Splunk Free Tier
• ProcessID と ProcessGuid の相関
• ネットワークトラフィックの検証
• 親子プロセスツリーの分析

このプロジェクトについて

高度な持続的脅威が実環境でどのように動作するかを理解するため、APT29 攻撃シミュレーション全体を分析しました。目標は、理論上の攻撃ではなく、実際の攻撃者行動を捕捉する検出ルールを書くことでした。

分析シリーズ:

• パート 1: 初期アクセスとステガノグラフィ
• パート 2: 資格情報ダンプと収集
• パート 3: 完全な実行チェーン
• パート 4: PsExec による横展開

コントリビューション

これらのルールはセキュリティコミュニティのために共有されています。以下の場合:

• 自環境で誤検知を発見した
• 検出ロジックを改善した
• 他の SIEM 向けの変換を追加した

プルリクエストを送信するか、issue を作成してください。

著者

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | CompTIA Security+ & CEH Certified

ライセンス

MIT License - 自由に使用可、クレジット表示を歓迎します# SOC_Detection_Rules いくつかの異常なアクティビティを捕捉するための検出ルールを作成しました。これらは私の APT29 検出シリーズの後に書かれたもので、私自身にとって役立ったように皆さんにも役立つことを願っています。