manishrawat21/detection-rules이 저장소는 APT29 시뮬레이션 중 관찰된 적대자 행동에 대한 검증된 탐지 규칙을 포함합니다. 각 규칙은 실제 공격 데이터로 테스트되었으며, Splunk SPL로 변환되었고, 오탐(false positive)에 대해 검증되었습니다.
MITRE ATT&CK Evaluations APT29 데이터셋의 196,071개 Sysmon 이벤트 분석을 통해 개발된 프로덕션 수준의 Sigma 탐지 규칙입니다.
이 저장소에는 APT29 시뮬레이션 중 관찰된 공격자 행위에 대한 검증된 탐지 규칙이 포함되어 있습니다. 각 규칙은 실제 공격 데이터를 대상으로 테스트되었고, Splunk SPL로 변환되었으며, 오탐 여부가 검증되었습니다.
분석 게시 위치: Detection Desk
| MITRE 기법 | 규칙 이름 | 심각도 | 상태 |
|---|---|---|---|
| T1003.001 | 전체 권한을 가진 LSASS 프로세스 접근 | 높음 | 테스트 완료 |
| T1059.001, T1027 | 의심스러운 PowerShell 실행 패턴 | 높음 | 테스트 완료 |
| T1547, T1059.006 | 비정상적인 DLL 로드 | 높음 | 테스트 완료 |
Splunk 쿼리: SPL 보기
Splunk 쿼리: SPL 보기
Splunk 쿼리: SPL 보기
sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml
각 규칙은 다음을 사용하여 테스트되었습니다:
저는 고급 지속적 위협이 실제 환경에서 어떻게 작동하는지 이해하기 위해 전체 APT29 공격 시뮬레이션을 분석했습니다. 목표는 이론적인 공격이 아닌 실제 공격자 행위를 잡아내는 탐지 규칙을 작성하는 것이었습니다.
분석 시리즈:
이 규칙들은 보안 커뮤니티를 위해 공유됩니다. 만약 여러분이:
풀 리퀘스트를 제출하거나 이슈를 열어주세요.
Manish Rawat
탐지 엔지니어 | 위협 헌터 | CompTIA Security+ & CEH 인증
MIT 라이선스 - 자유롭게 사용하세요, 출처 표기는 감사히 여기겠습니다# SOC_Detection_Rules 비정상적인 활동을 잡아내기 위한 몇 가지 탐지 규칙을 작성했습니다. 이는 제 APT29 탐지 시리즈 이후에 작성된 것으로, 제가 그랬던 것처럼 여러분에게도 도움이 되기를 바랍니다.