APT29 検知エンジニアリング

本番環境で使用可能なSigma検知ルールは、MITRE ATT&CK Evaluations APT29データセット内の196,071件のSysmonイベントの分析から開発されました。

概要

このリポジトリには、APT29シミュレーション中に観測された攻撃者行動に対する検証済みの検知ルールが含まれています。各ルールは実際の攻撃データに対してテストされ、Splunk SPLに変換され、誤検知について検証されました。

分析公開先: Detection Desk

検知対象範囲

MITREテクニック	ルール名	深刻度	ステータス
T1003.001	LSASSプロセスへのフル権限でのアクセス	高	テスト済み
T1059.001, T1027	疑わしいPowerShell実行パターン	高	テスト済み
T1547, T1059.006	異常なDLLロード	高	テスト済み

ルール

資格情報アクセス

LSASSプロセスへのフル権限でのアクセス

検出内容: GrantedAccess 0x1fffff で lsass.exe にアクセスする PowerShell または cmd.exe
MITRE: T1003.001（資格情報のダンプ）
検証対象: 23:05:16 の APT29 資格情報ダンプ、ProcessID 3852
誤検知: 低（セキュリティツール、アンチウイルス）

Splunkクエリ: SPLを表示

実行

疑わしいPowerShell実行パターン

検出内容: エンコードを使用したPowerShell、回避またはネットワークアクティビティを伴うOffice起動のPowerShell
MITRE: T1059.001（PowerShell）、T1027（難読化）、T1566.001（フィッシング）
検証対象: APT29データセットのEventID 1 PowerShell実行
誤検知: 中（正規の自動化、ソフトウェア展開）

Splunkクエリ: SPLを表示

異常なDLLロード

検出内容: Temp内のモジュールまたはDLLを読み込む署名なし実行ファイルを検出
MITRE: T1574（実行のハイジャック）、T1059.006（コマンドおよびスクリプト: Python）
検証対象: APT29データセットのEventID 7 悪意のあるDLLロード
誤検知: 低（TEMPディレクトリ内の正規ファイル、Python開発環境）

Splunkクエリ: SPLを表示

使用方法

Splunkへの変換

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Elasticへの変換

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

お使いの環境でのテスト

SIEMテスト環境にデプロイする
7日間監視する
誤検知を記録する
必要に応じて除外を追加する
本番環境に昇格させる

検証方法

各ルールは以下を使用してテストされました：

MITRE ATT&CK Evaluations APT29データセット（196,071イベント）
Sysmonログを使用したSplunk Free Tier
ProcessIDとProcessGuidの相関
ネットワークトラフィックの検証
親子プロセスツリー分析

このプロジェクトについて

私は、実際の環境で高度な持続的脅威（APT）がどのように動作するかを理解するために、完全なAPT29攻撃シミュレーションを分析しました。目標は、理論上の攻撃ではなく、実際の攻撃者行動を検知する検知ルールを作成することでした。

分析シリーズ:

貢献

これらのルールはセキュリティコミュニティのために共有されています。以下の場合:

お使いの環境で誤検知を見つけた場合
検知ロジックを改善する場合
他のSIEMへの変換を追加する場合

プルリクエストを送信するか、イシューを開いてください。

作者

Manish Rawat

検知エンジニア | 脅威ハンター | CompTIA Security+ & CEH認定

ライセンス

MITライセンス - 自由に使用可能、帰属を歓迎します# SOC_Detection_Rules

Detection-Rules

人気