APT29 检测工程

基于 MITRE ATT&CK Evaluations APT29 数据集中 196,071 条 Sysmon 事件分析开发的生产级 Sigma 检测规则。

概述

本仓库包含针对 APT29 模拟期间观察到的对手行为所验证的检测规则。每条规则均针对实际攻击数据进行了测试，转换为 Splunk SPL，并验证了误报情况。

分析发布于： Detection Desk

检测覆盖范围

MITRE 技术	规则名称	严重性	状态
T1003.001	具有完全权限的 LSASS 进程访问	高	已测试
T1059.001, T1027	可疑 PowerShell 执行模式	高	已测试
T1547, T1059.006	异常 DLL 加载	高	已测试

规则

凭据访问

具有完全权限的 LSASS 进程访问

• 检测： PowerShell 或 cmd.exe 以 GrantedAccess 0x1fffff 访问 lsass.exe
• MITRE： T1003.001（凭据转储）
• 验证依据： APT29 凭据转储，时间 23:05:16，ProcessID 3852
• 误报： 低（安全工具、杀毒软件）

Splunk 查询： 查看 SPL

执行

可疑 PowerShell 执行模式

• 检测： 带编码的 PowerShell、由 Office 启动且具有规避或网络活动的 PowerShell
• MITRE： T1059.001（PowerShell）、T1027（混淆）、T1566.001（钓鱼）
• 验证依据： APT29 数据集 EventID 1 PowerShell 执行
• 误报： 中（合法自动化、软件部署）

Splunk 查询： 查看 SPL

异常 DLL 加载

• 检测： 检测 Temp 目录中加载模块或 DLL 的未签名可执行文件
• MITRE： T1574（劫持执行）、T1059.006（命令与脚本：Python）
• 验证依据： APT29 数据集 EventID 7 恶意 DLL 加载
• 误报： 低（TEMP 目录中的合法文件、Python 开发环境）

Splunk 查询： 查看 SPL

使用方法

转换为 Splunk

sigma convert -t splunk -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

转换为 Elastic

sigma convert -t elasticsearch -p sysmon https://github.com/Manishrawat21/SOC_Detection_Rules/blob/main/Suspicious_Powershell_Commands/Detection_Rule.yaml

在你的环境中测试

1. 部署到 SIEM 测试环境
2. 监控 7 天
3. 记录误报
4. 根据需要添加排除项
5. 推广到生产环境

验证方法

每条规则均使用以下内容进行测试：

• MITRE ATT&CK Evaluations APT29 数据集（196,071 条事件）
• 带 Sysmon 日志的 Splunk 免费版
• ProcessID 和 ProcessGuid 关联
• 网络流量验证
• 父子进程树分析

关于本项目

我分析了完整的 APT29 攻击模拟，以了解高级持续性威胁在真实环境中的运作方式。目标是编写能够捕获实际对手行为而非理论攻击的检测规则。

分析系列：

• 第 1 部分：初始访问与隐写术
• 第 2 部分：凭据转储与收集
• 第 3 部分：完整执行链
• 第 4 部分：通过 PsExec 进行横向移动

贡献

这些规则与安全社区共享。如果你：

• 在你的环境中发现误报
• 改进检测逻辑
• 为其他 SIEM 添加转换

请提交 pull request 或打开 issue。

作者

Manish Rawat

• LinkedIn: linkedin.com/in/manishrawat21
• Substack: Detection Desk
• Email: [email protected]

检测工程师 | 威胁猎手 | CompTIA Security+ 与 CEH 认证

许可证

MIT License - 可自由使用，注明出处更佳# SOC_Detection_Rules 编写了一些检测规则以捕获一些异常活动。这些规则是在我的 APT29 检测系列之后编写的，希望它们对你也能像对我一样有效。