Ders 3.2: Sigma kuralları

Bir tespit, günlüklere otomatik olarak, tekrar tekrar sorulan bir sorudur. Sigma, bu tür soruları bir kez yazıp herhangi bir SIEM (Splunk, Sentinel, Elastic ve diğerleri) için dönüştürmeye yarayan açık, üreticiden bağımsız bir biçimdir; böylece topluluk tespitleri, dosyalar için YARA kurallarını paylaştığı gibi paylaşabilir. Laboratuvarda Office uygulamalarının bir kabuk başlatması için yazılmış bir Sigma kuralını okuyor, tespit mantığını bir jq sorgusuna çeviriyor, onu bütün şirketten bir haftalık Sysmon olaylarında çalıştırıyor ve iki gerçek saldırıyı belgelenmiş istisnadan ayırıyorsun.

17 dk

Bu derste öğreneceklerin

Sigma'nın ne işe yaradığını açıklamak
Bir kuralın logsource, detection ve condition bölümlerini okumak
Seçimleri bir sorguya çevirmek
Bir tespiti birçok makinede çalıştırmak
Belgelenmiş yanlış pozitifleri dar süzgeçlerle ele almak

Temel terimler

Sigma: Günlük olayları için açık, genel bir imza biçimi; her SIEM'in sorgu diline dönüştürülür.
logsource: Bir kuralın hangi tür günlüğe ihtiyaç duyduğu (ürün, kategori, hizmet).
Seçim ve koşul: Adlandırılmış alan eşleşmesi grupları; mantıksal bir koşulla birleştirilir.
Değiştirici: Bir değerin nasıl karşılaştırıldığı: |endswith, |contains, |startswith, |re, |all.
Kod olarak tespit: Tespit kurallarını yazılım gibi gözden geçirilen ve sınanan biçimde sürüm denetiminde tutmak.

← Parolaları saklamak ve doğrulamak · Tüm dersler · Sistemler parolaları nasıl saklar →