Инженерия обнаружения APT29

Готовые к использованию в продакшене правила обнаружения Sigma, разработанные на основе анализа 196 071 события Sysmon в наборе данных MITRE ATT&CK Evaluations APT29.

Обзор

Этот репозиторий содержит проверенные правила обнаружения для поведения противника, наблюдавшегося во время симуляции APT29. Каждое правило было протестировано на реальных данных атаки, преобразовано в Splunk SPL и проверено на ложные срабатывания.

Анализ опубликован на: Detection Desk

Покрытие обнаружения

Техника MITRE	Название правила	Критичность	Статус
T1003.001	LSASS Process Access with Full Permissions	High	Tested
T1059.001, T1027	Suspicious PowerShell Execution Patterns	High	Tested
T1547, T1059.006	Abnormal DLL Loads	High	Tested

Правила

Доступ к учётным данным

LSASS Process Access with Full Permissions

• Обнаруживает: PowerShell или cmd.exe, обращающиеся к lsass.exe с GrantedAccess 0x1fffff
• MITRE: T1003.001 (Credential Dumping)
• Проверено на: дамп учётных данных APT29 в 23:05:16, ProcessID 3852
• Ложные срабатывания: Низкие (средства безопасности, антивирус)

Запрос Splunk: Просмотреть SPL

Выполнение

Suspicious PowerShell Execution Patterns

• Обнаруживает: PowerShell с кодированием, PowerShell, запущенный из Office, с обходом защиты или сетевой активностью
• MITRE: T1059.001 (PowerShell), T1027 (Obfuscation), T1566.001 (Phishing)
• Проверено на: выполнениях PowerShell с EventID 1 в наборе данных APT29
• Ложные срабатывания: Средние (легитимная автоматизация, развёртывание ПО)

Запрос Splunk: Просмотреть SPL

Abnormal DLL Loads

• Обнаруживает: Обнаруживает неподписанные исполняемые файлы в Temp, загружающие модули или DLL
• MITRE: T1574(Hijacking Execution), T1059.006(Command & Scripting: Python)
• Проверено на: загрузке вредоносной DLL с EventID 7 в наборе данных APT29
• Ложные срабатывания: Низкие (легитимные файлы в каталоге TEMP, среда разработки Python )

Запрос Splunk: Просмотреть SPL

Использование

Конвертация в Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Конвертация в Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

Тестирование в вашей среде

1. Разверните в тестовой среде SIEM
2. Отслеживайте в течение 7 дней
3. Задокументируйте ложные срабатывания
4. Добавьте исключения по мере необходимости
5. Переведите в продакшен

Методология проверки

Каждое правило было протестировано с использованием:

• Набора данных MITRE ATT&CK Evaluations APT29 (196 071 событие)
• Splunk Free Tier с логами Sysmon
• Корреляции ProcessID и ProcessGuid
• Проверки сетевого трафика
• Анализа дерева родительских и дочерних процессов

Об этом проекте

Я проанализировал полную симуляцию атаки APT29, чтобы понять, как продвинутые устойчивые угрозы действуют в реальных средах. Целью было написать правила обнаружения, которые ловят реальное поведение противника, а не теоретические атаки.

Серия анализов:

• Часть 1: Первоначальный доступ и стеганография
• Часть 2: Дамп учётных данных и сбор
• Часть 3: Полная цепочка выполнения
• Часть 4: Боковое перемещение через PsExec

Участие в проекте

Эти правила публикуются для сообщества безопасности. Если вы:

• Нашли ложные срабатывания в вашей среде
• Улучшили логику обнаружения
• Добавили конвертации для других SIEM

Отправьте pull request или откройте issue.

Автор

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

Detection Engineer | Threat Hunter | CompTIA Security+ & CEH Certified

Лицензия

MIT License - Use freely, attribution appreciated# SOC_Detection_Rules Написал несколько правил обнаружения для выявления некоторых аномальных действий. Они написаны после моей серии об обнаружении APT29, надеюсь, они сработают для вас так же, как сработали для меня.