Log kaynakları ve alan adları

logsource

logsource, kuralın hangi tür olay için yazıldığını söyler; bir dosya ya da index adı değildir. Üç isteğe bağlı anahtarı vardır:

• product: işletim sistemi ya da ürün, örneğin windows, linux, aws.
• category: olayı kaydeden araçtan bağımsız bir olay türü, örneğin process_creation, network_connection, registry_set, process_access.
• service: belirli bir log, örneğin Windows'ta security ya da sysmon.

Bir logsource'un hangi gerçek loga karşılık geldiğine kuralı çeviren araç karar verir. Bu sitede category: process_creation Sysmon Event ID 1, registry_set Event ID 13, process_access Event ID 10 demektir. Bir SIEM process_creation'ı bunun yerine Windows Security Event ID 4688'e eşleyebilir; onun alan adları farklıdır. Bu yüzden Sigma projesi her kategori için bir alan adı listesi (taxonomy) tutar: kurallar bu adları kullanır, çevirici onları karşılıklarına dönüştürür.

Bir süreç başlangıcının alanları

Bir Sysmon süreç oluşturma olayında, diğerlerinin yanında şu alanlar bulunur:

• Image: başlatılan programın tam yolu.
• CommandLine: program ve argümanlarıyla birlikte tam komut satırı.
• ParentImage ve ParentCommandLine: onu başlatan program ve onun komut satırı.
• OriginalFileName: program derlenirken dosyanın içine yazılan dosya adı. Dosya yeniden adlandırıldığında değişmez; kopyalanıp adı değiştirilmiş bir mshta.exe'yi de tanır.
• User, IntegrityLevel, CurrentDirectory, Company, Description, Product.

Kuraldaki alan adı, log kaynağının adlandırdığı gibi yazılır. Her alan koşulu tek bir alana bakar: Image|endswith: '\mshta.exe' üst süreç hakkında hiçbir şey söylemez.

Üst süreç neden önemli

mshta.exe gibi script kodu çalıştıran bir program, çoğunlukla ardından başlattığı şey yüzünden ilgi çeker. Alıştırma verisinde mshta.exe üç süreç başlattı: bir komut kabuğu, bir hesap makinesi ve PowerShell. Üst sürece göre aramak, hangi program olurlarsa olsunlar onları bulur.