Engenharia de Detecção APT29

Regras de detecção Sigma prontas para produção, desenvolvidas a partir da análise de 196.071 eventos Sysmon no conjunto de dados APT29 do MITRE ATT&CK Evaluations.

Visão Geral

Este repositório contém regras de detecção validadas para comportamentos de adversários observados durante a simulação do APT29. Cada regra foi testada contra os dados reais do ataque, convertida para Splunk SPL e validada quanto a falsos positivos.

Análise publicada em: Detection Desk

Cobertura de Detecção

Técnica MITRE	Nome da Regra	Severidade	Status
T1003.001	Acesso ao Processo LSASS com Permissões Completas	Alta	Testada
T1059.001, T1027	Padrões Suspeitos de Execução do PowerShell	Alta	Testada
T1547, T1059.006	Carregamentos Anormais de DLL	Alta	Testada

Regras

Acesso a Credenciais

Acesso ao Processo LSASS com Permissões Completas

• Detecta: PowerShell ou cmd.exe acessando lsass.exe com GrantedAccess 0x1fffff
• MITRE: T1003.001 (Credential Dumping)
• Validado Contra: Despejo de credenciais do APT29 às 23:05:16, ProcessID 3852
• Falsos Positivos: Baixo (ferramentas de segurança, antivírus)

Consulta Splunk: Ver SPL

Execução

Padrões Suspeitos de Execução do PowerShell

• Detecta: PowerShell com codificação, PowerShell gerado pelo Office com evasão ou atividade de rede
• MITRE: T1059.001 (PowerShell), T1027 (Ofuscação), T1566.001 (Phishing)
• Validado Contra: Execuções do PowerShell com EventID 1 do conjunto de dados APT29
• Falsos Positivos: Médio (automação legítima, implantação de software)

Consulta Splunk: Ver SPL

Carregamentos Anormais de DLL

• Detecta: Detecta executáveis não assinados em Temp carregando módulos ou DLLs
• MITRE: T1574(Sequestro de Execução), T1059.006(Comando e Script: Python)
• Validado Contra: Carregamento de DLL Maliciosa com EventID 7 do conjunto de dados APT29
• Falso Positivo: Baixo (Arquivos legítimos no diretório TEMP, ambiente de desenvolvimento Python )

Consulta Splunk: Ver SPL

Uso

Converter para Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Converter para Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Testar no Seu Ambiente

1. Implantar no ambiente de teste do SIEM
2. Monitorar por 7 dias
3. Documentar falsos positivos
4. Adicionar exclusões conforme necessário
5. Promover para produção

Metodologia de Validação

Cada regra foi testada usando:

• Conjunto de dados APT29 do MITRE ATT&CK Evaluations (196.071 eventos)
• Splunk Free Tier com logs do Sysmon
• Correlação de ProcessID e ProcessGuid
• Validação de tráfego de rede
• Análise da árvore de processos pai-filho

Sobre Este Projeto

Analisei a simulação completa do ataque APT29 para entender como ameaças persistentes avançadas operam em ambientes reais. O objetivo era escrever regras de detecção que capturassem o comportamento real dos adversários, não ataques teóricos.

Série de análises:

• Parte 1: Acesso Inicial e Esteganografia
• Parte 2: Despejo de Credenciais e Coleta
• Parte 3: Cadeia de Execução Completa
• Parte 4: Movimento Lateral via PsExec

Contribuindo

Estas regras são compartilhadas para a comunidade de segurança. Se você:

• Encontrar falsos positivos no seu ambiente
• Melhorar a lógica de detecção
• Adicionar conversões para outros SIEMs

Envie um pull request ou abra uma issue.

Autor

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | CompTIA Security+ & CEH Certified

Licença

MIT License - Use livremente, atribuição apreciada# SOC_Detection_Rules Escrevi algumas regras de detecção para capturar algumas atividades anormais. Estas foram escritas após minha série de detecção do APT29, espero que funcionem para você como funcionaram para mim.