Implementando Regras de Correlação SIEM para APT

Quando Usar

• Ao implantar ou configurar a implementação de regras de correlação SIEM para capacidades de APT em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Instruções

1. Instale as dependências: pip install requests pyyaml sigma-cli
2. Conecte-se à API REST do Splunk e defina buscas de correlação que encadeiam múltiplos tipos de eventos entre hosts.
3. Crie regras Sigma em YAML que expressem lógica de detecção de múltiplos passos para padrões de movimento lateral:
   • Logon RDP (4624 LogonType=10) seguido pela instalação de serviço (7045) no mesmo alvo em até 15 minutos.
   • Pass-the-Hash: Logon NTLM (4624 LogonType=3) seguido pela criação de processo (4688) de ferramentas administrativas.
   • Estilo PsExec: Criação de pipe nomeado (Sysmon 17/18) correlacionada com a criação de serviço remoto (7045).
4. Converta as regras Sigma para Splunk SPL usando sigma-cli convert.
5. Implante as buscas de correlação no Splunk ES via API REST.
6. Execute o agente para gerar e instalar regras de correlação, e então audite as regras existentes para lacunas de cobertura.

python scripts/agent.py --splunk-url https://localhost:8089 --username admin --password changeme --output correlation_report.json

Exemplos

Detectar Cadeia de Movimento Lateral RDP

index=wineventlog (EventCode=4624 Logon_Type=10) OR (EventCode=7045)
| transaction Computer maxspan=15m startswith=(EventCode=4624) endswith=(EventCode=7045)
| where eventcount >= 2
| table _time Computer Account_Name ServiceName

Regra Sigma para Movimento Lateral PsExec

title: PsExec Lateral Movement Detection
logsource:
  product: windows
  service: sysmon
detection:
  pipe_created:
    EventID: 17
    PipeName|startswith: '\PSEXESVC'
  service_installed:
    EventID: 7045
    ServiceFileName|contains: 'PSEXESVC'
  timeframe: 5m
  condition: pipe_created | near service_installed
level: high