Sigma kuralı yazın, gerçek loglarda deneyin
HowDefend, Windows'taki yaygın saldırı tekniklerinin nasıl tespit edileceğini ve önleneceğini anlatır, tespit kuralları için açık bir biçim olan Sigma'yı öğretir ve kuralları saldırı kayıtları ile temiz bir Windows makinesinin logları üzerinde dener. Bir kural iki şeye göre değerlendirilir: saldırıyı yakaladı mı ve kaç normal olayı işaretledi.
Nasıl savunulur
Her teknik için bir sayfa: saldırgan ne yapar, logda nasıl görünür, ölçülmüş sonucuyla bir tespit kuralı, kuralın kaçırdıkları ve nasıl önlenir.
- 1mshta ile script çalıştırma
- 2Kodlanmış PowerShell komutları
- 3Run anahtarıyla kalıcılık
- 4LSASS'tan kimlik bilgisi dökme
- 5Zamanlanmış görev kötüye kullanımı
- 6Servis ve WMI ile uzaktan çalıştırma
- 7Parola kovanlarının kopyalanması
- 8Registry ile loglamanın kapatılması
- 9Komut satırından loglamanın kapatılması
- 10Ele geçirilmiş süreçlerden komuta kontrol trafiği
Dersler
Bir kuralın parçalarından onu SIEM'e hazırlamaya kadar sekiz kısa ders. Her biri bir alıştırmayla biter.
- 1Bir Sigma kuralının parçalarıÇözüldü
- 2Log kaynakları ve alan adlarıÇözüldü
- 3Değer eşleştirmeÇözüldü
- 4Listeler, aramalar ve koşullarÇözüldü
- 5False positive'ler ve bir kuralı daraltmakÇözüldü
- 6Şekil değiştiren komut satırlarıÇözüldü
- 7Süreç erişimi ve erişim maskeleriÇözüldü
- 8Bir kuralı kullanıma hazırlamakÇözüldü
Challenge'lar
Her biri tek bir teknik; hedef olayların hepsi etiketli, kaçınılması gereken binlerce normal olay var.
- 1mshta ile script kodu çalıştırmaÇözüldü
- 2Kodlanmış PowerShell komutlarıÇözüldü
- 3Run anahtarıyla kalıcılıkÇözüldü
- 4LSASS belleğine erişimÇözüldü
- 5Komut çalıştıran zamanlanmış görevlerÇözüldü
- 6Servisler ve WMI üzerinden uzaktan çalıştırmaÇözüldü
- 7Parola kovanlarının ve AD veritabanının kopyalanmasıÇözüldü
- 8Olay loglamasını registry üzerinden kapatmaÇözüldü
- 9Loglamayı komut satırından kapatmaÇözüldü
- 10Ağ bağlantısı olmaması gereken süreçlerden gelen bağlantılarÇözüldü
Bir kural nasıl kontrol edilir
- Kuralı, herhangi bir Sigma aracı için yazdığınız gibi YAML olarak yazarsınız.
- Kural bu tarayıcıda, dersin ya da challenge'ın olayları üzerinde çalışır: aynı makinelerden ve temiz bir Windows 10 istemcisinden saldırı ve normal olaylar.
- Sonuç yakalanan ve kaçan saldırı olaylarını ve eşleşen her normal olayı listeler.
Değerlendirici Sigma spesifikasyonunun tanımlı bir kısmını destekler ve build sırasında her veri setinde pySigma ile karşılaştırılır. Desteklenmeyen bir özellik kullanan kural farklı değerlendirilmez, bir mesajla reddedilir.