Construindo Regras de Detecção com SPL do Splunk

Visão Geral

A Splunk Search Processing Language (SPL) é a principal linguagem de consulta usada no Splunk Enterprise Security para construir buscas de correlação que detectam eventos e padrões suspeitos. Uma regra de detecção bem elaborada agrega, correlaciona e enriquece eventos de segurança para gerar eventos notáveis acionáveis para analistas de SOC. SIEMs corporativos, em média, cobrem apenas 21% das técnicas do MITRE ATT&CK, tornando a escrita de regras SPL habilidosa essencial para fechar lacunas de detecção.

Quando Usar

• Ao implantar ou configurar a construção de regras de detecção com capacidades SPL do Splunk em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Splunk Enterprise Security (ES) implantado e configurado
• Acesso ao aplicativo Splunk Search & Reporting com as funções apropriadas
• Compreensão dos modelos de dados do Common Information Model (CIM)
• Familiaridade com as técnicas do framework MITRE ATT&CK
• Conhecimento das fontes de log e fluxos de dados da organização

Padrões Principais de Regras de Detecção SPL

1. Detecção Baseada em Limiar

Detecta eventos que excedem uma contagem definida dentro de uma janela de tempo.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4625
| stats count as failed_logins dc(TargetUserName) as unique_users by src_ip
| where failed_logins > 10 AND unique_users > 3
| eval severity="high"
| eval description="Brute force attack detected from ".src_ip." with ".failed_logins." failed logins across ".unique_users." accounts"

2. Detecção Baseada em Sequência (Login Falho Seguído por Sucesso)

Correlaciona uma sequência de eventos indicando um ataque de força bruta bem-sucedido.

index=wineventlog sourcetype=WinEventLog:Security (EventCode=4625 OR EventCode=4624)
| eval login_status=case(EventCode=4625, "failure", EventCode=4624, "success")
| stats count(eval(login_status="failure")) as failures count(eval(login_status="success")) as successes latest(_time) as last_event by src_ip, TargetUserName
| where failures > 5 AND successes > 0
| eval description="Account ".TargetUserName." compromised via brute force from ".src_ip
| eval urgency="critical"

3. Detecção de Anomalia com Comparação de Linha de Base

Compara a atividade atual com um período de linha de base para detectar picos.

index=proxy sourcetype=squid
| bin _time span=1h
| stats count as current_count by src_ip, _time
| join src_ip type=left [
    search index=proxy sourcetype=squid earliest=-7d@d latest=-1d@d
    | stats avg(count) as avg_count stdev(count) as stdev_count by src_ip
]
| eval threshold=avg_count + (3 * stdev_count)
| where current_count > threshold
| eval deviation=round((current_count - avg_count) / stdev_count, 2)
| eval description="Anomalous web traffic from ".src_ip." - ".deviation." standard deviations above baseline"

4. Detecção de Movimentação Lateral

Identifica potencial movimentação lateral usando eventos de login do Windows.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4624 Logon_Type=3
| where NOT match(TargetUserName, ".*\$$")
| stats dc(dest) as unique_hosts values(dest) as hosts by src_ip, TargetUserName
| where unique_hosts > 5
| eval severity=case(unique_hosts > 20, "critical", unique_hosts > 10, "high", true(), "medium")
| eval description=TargetUserName." accessed ".unique_hosts." unique hosts from ".src_ip." via network logon"

5. Detecção de Exfiltração de Dados

Monitora grandes transferências de dados de saída.

index=firewall sourcetype=pan:traffic action=allowed direction=outbound
| stats sum(bytes_out) as total_bytes_out dc(dest_ip) as unique_destinations by src_ip, user
| eval total_mb=round(total_bytes_out/1048576, 2)
| where total_mb > 500 OR unique_destinations > 50
| lookup asset_lookup ip as src_ip OUTPUT asset_category, asset_owner
| eval severity=case(total_mb > 2000, "critical", total_mb > 1000, "high", true(), "medium")
| eval description=user." transferred ".total_mb."MB to ".unique_destinations." unique destinations"

6. Detecção de Execução Suspeita do PowerShell

Detecta comandos do PowerShell codificados ou ofuscados.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4104
| where match(ScriptBlockText, "(?i)(encodedcommand|invoke-expression|iex|downloadstring|frombase64string|net\.webclient|invoke-webrequest|bitstransfer|invoke-mimikatz|invoke-shellcode)")

…