Co jest w pakiecie
Pakiet reguł to wyselekcjonowany zestaw reguł wykrywających typowe techniki ataków na Windows i Linuksie. Każda reguła jest oznaczona techniką ATT&CK i ma zdarzenia testowe potwierdzające jej działanie. Nowe wdrożenie instaluje pakiet automatycznie, z włączonymi regułami.
| Reguła | Technika | Wymaga |
|---|---|---|
| Encoded PowerShell command | T1059.001 | Tworzenie procesów w Windows |
| Suspicious LSASS process access | T1003.001 | Sysmon |
| Certutil used as downloader | T1105 | Tworzenie procesów w Windows |
| Scheduled task created from the command line | T1053.005 | Tworzenie procesów w Windows |
| Regsvr32 loading remote scriptlet | T1218.010 | Tworzenie procesów w Windows |
| WMI remote process creation | T1047 | Tworzenie procesów w Windows |
| Local account created from the command line | T1136.001 | Tworzenie procesów w Windows |
| Windows event log cleared | T1070.001 | Dziennik Security w Windows |
| Authentication brute force | T1110 | Dziennik Security w Windows lub uwierzytelnianie w Linuksie |
| Kerberoasting (RC4 service ticket requests) | T1558.003 | Dziennik Security na kontrolerach domeny |
| Defender real-time protection disabled | T1562.001 | Microsoft Defender |
| Administrative share accessed over SMB | T1021.002 | Dziennik Security w Windows |
| Office application spawned a shell | T1566.001 | Tworzenie procesów w Windows |
| Download piped straight into a shell (Linux) | T1059.004 | auditd w Linuksie |
| Credential-dumping tool signatures in telemetry | T1003 | Dowolne |
| Parent PID spoofing: handle opened, then a child appears | T1134.004 | Sysmon |
| Brute force followed by successful logon | T1110, T1078 | Dziennik Security w Windows lub uwierzytelnianie w Linuksie |
| Failed logons and a service installed on the same host | T1021.002, T1543.003 | Dziennik Security w Windows |
Trzy ostatnie to reguły wieloetapowe.
Dostrajanie
Reguły z pakietu to punkt wyjścia. W pierwszych dwóch tygodniach zwykle trzeba dodać wyjątki dla legalnych narzędzi administracyjnych używanych w Twoim środowisku; zobacz Wyjątki i wyciszenia. Odsetek fałszywych alarmów w inspektorze reguły wskazuje, które reguły wymagają uwagi.
Aktualizacje
Nowe wersje pakietu są dostarczane z aktualizacjami platformy, a stosuje je administrator. Zastosowanie aktualizacji przywraca każdą regułę z pakietu do stanu dostarczonego, łącznie ze stanem włączenia i wyjątkami. Reguły napisane przez Twój zespół pozostają bez zmian.