Заметки и анализ по Detection Engineering

Этот репозиторий документирует практические исследования в области детектирования, основанные на лабораторном тестировании, анализе логов и реальных рабочих процессах SOC.

Основное внимание уделяется тому, как техники атакующих на самом деле отображаются в логах, какая логика детектирования работает на практике, что не срабатывает и где возникают ложные срабатывания. Весь контент написан с оборонительной точки зрения для аналитиков и инженеров детектирования.

Это не инструменты для атак или разработка эксплойтов.

---

Содержание этого репозитория

DLL Hijacking и Side Loading

Заметки по анализу и детектированию активности DLL-перехвата и боковой загрузки в системах Windows.

Рассмотренные темы:

• Как легитимные исполняемые файлы загружают вредоносные DLL
• Распространенные пути выполнения, используемые при боковой загрузке
• Корреляция между выполнением процессов, созданием файлов и событиями загрузки образов
• Логика детектирования на основе поведения вместо сопоставления имен файлов
• Ложные срабатывания, наблюдаемые при реальном тестировании

Выявленные частые ложные срабатывания:

• Приложения на основе Chrome и Chromium
• Visual Studio Code
• Выполнения Python
• Десктопные приложения на основе Electron

Акцент делается на разделении ожидаемого поведения приложений и активности, которая действительно требует расследования.

---

Детектирование закодированных команд PowerShell

Исследование того, как закодированные команды PowerShell отображаются в логах и как атакующие обходят простые детектирования.

Включает:

• Поведение журналирования ScriptBlock и модулей (4104, 4103, 400, 800)
• Почему обфускация параметров нарушает детектирование на основе ключевых слов
• Запросы Splunk, которые не сработали, и почему
• Подходы к детектированию на основе регулярных выражений
• Контекстно-зависимые детектирования для снижения шума
• Пример логики детектирования в стиле Sigma, построенной на основе лабораторных наблюдений

Все тестирование выполняется с реалистичной телеметрией, а не с идеальными корпоративными настройками.

---

Философия детектирования

Эффективное детектирование редко основывается на единичных индикаторах.

Этот репозиторий сосредоточен на:

• Корреляции поведения, а не статических сигнатурах
• Понимании того, как SIEM-платформы индексируют и токенизируют данные
• Снижении ложных срабатываний до увеличения объема оповещений
• Написании детектирований, которые аналитики могут реально расследовать

Направляющий вопрос: Выживет ли это детектирование в реальной среде SOC?

---

Для кого этот репозиторий

• Аналитики SOC
• Инженеры детектирования
• Охотники за угрозами
• Практики синей команды, настраивающие детектирования
• Специалисты по безопасности, изучающие, как атаки проявляются в логах

---

Открыт к сотрудничеству

Заинтересован в работе с командами над:

• Фреймворками инженерии детектирования
• Операциями по охоте за угрозами
• Масштабированием и оптимизацией SOC

Если вы решаете сложные проблемы детектирования, давайте поговорим.

---

Поддержка проекта

Если вы нашли этот репозиторий полезным или узнали что-то из него, подумайте о том, чтобы поставить звезду.
Это помогает исследованиям достичь большего числа аналитиков и стимулирует продолжение работы.

---

Связь и следите за работой

GitHub
https://github.com/Manishrawat21

LinkedIn
https://www.linkedin.com/in/manishrawat-soc/

Medium
Записи о детектировании и лабораторные исследования

---

Примечания

Все запросы и логика детектирования являются отправными точками и должны быть адаптированы к вашей среде.

Этот репозиторий развивается по мере добавления новых исследований в области детектирования.