Первые три правила
Компания: ТОО «Нур Интегратор»
Вводная
ТОО «Нур Интегратор» — ИТ-компания. Вас попросили написать правила обнаружения для SIEM. Формат — Sigma: общий язык, который потом переводится в запрос любой системы.
Выборка за сутки нарочно смешанная. Рядом с событиями, которые нужно ловить, лежат похожие, но законные: администраторы ходят по RDP из офиса, службы ставятся из Program Files, людей добавляют в обычные группы. Правило, которое цепляет всё подряд, — плохое правило.
Каждое правило после отправки выполняется на этой выборке. Вы увидите, сколько целевых событий оно поймало и сколько лишних зацепило. Зачёт — когда поймано всё и лишних ноль. Дорабатывайте и отправляйте снова: попытки не ограничены.
Опорный вид правила: title: Название logsource: product: windows detection: selection: event.code: 4624 filter: source.ip|startswith: '10.' condition: selection and not filter
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
| @timestamp | event.code | host.name | user.name | source.ip | process.name |
|---|---|---|---|---|---|
| 2026-03-06T04:01:41Z | 1 | NUR-WS-16 | a.zhuma | — | powerpnt.exe |
| 2026-03-06T04:02:23Z | 4624 | NUR-WS-16 | a.zhuma | 10.90.8.51 | — |
| 2026-03-06T04:04:04Z | 1 | NUR-WS-13 | e.beketov | — | powerpnt.exe |
| 2026-03-06T04:07:24Z | 4624 | NUR-WS-50 | a.serik | 10.90.8.68 | — |
| 2026-03-06T04:22:39Z | 4625 | NUR-WS-16 | a.zhuma | 10.90.8.97 | — |
| 2026-03-06T04:26:39Z | 4624 | NUR-WS-16 | a.zhuma | 10.90.8.97 | — |
| 2026-03-06T04:33:01Z | 4624 | NUR-WS-50 | a.serik | 10.90.8.57 | — |
| 2026-03-06T04:33:13Z | 4624 | NUR-WS-15 | r.tleubaev | 10.90.8.42 | — |
| 2026-03-06T04:34:55Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.45 | — |
| 2026-03-06T05:37:27Z | 1 | NUR-WS-50 | a.serik | — | powershell.exe |
| 2026-03-06T05:41:26Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.80 | — |
| 2026-03-06T06:03:06Z | 1 | NUR-WS-50 | a.serik | — | cmd.exe |
| 2026-03-06T06:05:29Z | 1 | NUR-WS-13 | e.beketov | — | winword.exe |
| 2026-03-06T06:08:07Z | 1 | NUR-WS-50 | a.serik | — | powerpnt.exe |
| 2026-03-06T06:09:29Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.103 | — |
| 2026-03-06T06:13:42Z | 4624 | NUR-WS-15 | r.tleubaev | 10.90.8.86 | — |
| 2026-03-06T06:22:43Z | 4625 | NUR-WS-43 | d.abdrah | 10.90.8.36 | — |
| 2026-03-06T06:26:43Z | 4624 | NUR-WS-43 | d.abdrah | 10.90.8.36 | — |
| 2026-03-06T06:40:00Z | 4732 | NUR-DC-01 | a.zhuma | — | — |
| 2026-03-06T06:42:38Z | 4624 | NUR-WS-57 | s.isaeva | 10.90.8.92 | — |
| 2026-03-06T06:56:47Z | 4624 | NUR-SRV-APP | a.zhuma | 10.90.8.58 | — |
| 2026-03-06T07:00:00Z | 7045 | NUR-SRV-APP | a.zhuma | — | — |
| 2026-03-06T07:03:15Z | 4624 | NUR-WS-15 | r.tleubaev | 10.90.8.108 | — |
| 2026-03-06T07:04:39Z | 4625 | NUR-WS-15 | m.nurpeis | 10.90.8.41 | — |
| 2026-03-06T07:05:39Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.41 | — |
| 2026-03-06T07:06:39Z | 4624 | NUR-WS-50 | a.serik | 10.90.8.54 | — |
| 2026-03-06T07:09:32Z | 1 | NUR-WS-42 | t.kaliev | — | cmd.exe |
| 2026-03-06T07:23:13Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.96 | — |
| 2026-03-06T07:26:00Z | 4720 | NUR-DC-01 | a.zhuma | — | — |
| 2026-03-06T07:33:01Z | 4634 | NUR-WS-50 | a.serik | — | — |
| 2026-03-06T07:33:13Z | 4634 | NUR-WS-15 | r.tleubaev | — | — |
| 2026-03-06T07:44:02Z | 4624 | NUR-SRV-APP | a.zhuma | 10.90.8.115 | — |
| 2026-03-06T07:54:00Z | 4698 | NUR-DC-01 | a.serik | — | — |
| 2026-03-06T07:59:01Z | 1 | NUR-WS-15 | m.nurpeis | — | cmd.exe |
| 2026-03-06T08:01:20Z | 4624 | NUR-SRV-APP | a.zhuma | 10.90.8.85 | — |
| 2026-03-06T08:03:28Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.66 | — |
| 2026-03-06T08:17:31Z | 1 | NUR-WS-13 | e.beketov | — | excel.exe |
| 2026-03-06T08:20:00Z | 7045 | NUR-DC-01 | a.zhuma | — | — |
| 2026-03-06T08:23:56Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.52 | — |
| 2026-03-06T08:29:26Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.50 | — |
| 2026-03-06T08:46:09Z | 4624 | NUR-WS-15 | r.tleubaev | 10.90.8.64 | — |
| 2026-03-06T08:57:53Z | 1 | NUR-WS-50 | a.serik | — | cmd.exe |
| 2026-03-06T09:07:24Z | 4634 | NUR-WS-50 | a.serik | — | — |
| 2026-03-06T09:10:00Z | 4732 | NUR-DC-01 | a.zhuma | — | — |
| 2026-03-06T09:17:26Z | 4625 | NUR-WS-13 | e.beketov | 10.90.8.102 | — |
| 2026-03-06T09:17:42Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.46 | — |
| 2026-03-06T09:20:26Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.102 | — |
| 2026-03-06T09:29:33Z | 4624 | NUR-WS-13 | e.beketov | 10.90.8.90 | — |
| 2026-03-06T09:36:54Z | 4624 | NUR-WS-43 | d.abdrah | 10.90.8.57 | — |
| 2026-03-06T09:42:38Z | 4634 | NUR-WS-57 | s.isaeva | — | — |
| 2026-03-06T09:43:13Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.90 | — |
| 2026-03-06T09:44:11Z | 1 | NUR-WS-57 | s.isaeva | — | excel.exe |
| 2026-03-06T09:49:54Z | 1 | NUR-WS-16 | a.zhuma | — | powershell.exe |
| 2026-03-06T09:54:29Z | 1 | NUR-WS-15 | m.nurpeis | — | winword.exe |
| 2026-03-06T10:00:04Z | 4624 | NUR-SRV-APP | a.zhuma | 10.90.8.101 | — |
| 2026-03-06T10:02:41Z | 4624 | NUR-WS-42 | t.kaliev | 10.90.8.96 | — |
| 2026-03-06T10:08:36Z | 4624 | NUR-SRV-APP | a.zhuma | 10.90.8.44 | — |
| 2026-03-06T10:16:41Z | 4624 | NUR-WS-42 | t.kaliev | 10.90.8.52 | — |
| 2026-03-06T10:19:08Z | 4624 | NUR-WS-15 | m.nurpeis | 10.90.8.118 | — |
| 2026-03-06T10:26:59Z | 4624 | NUR-WS-42 | t.kaliev | 10.90.8.41 | — |
Вопросы
0/3 · 0/90 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Напишите правило, которое ловит успешные входы по удалённому рабочему столу с внешних адресов — и не ловит такие же входы из внутренней сети.
Формат: Правило Sigma в YAML · 30 очков
Напишите правило, которое ловит запуск командной оболочки из офисного приложения: cmd или powershell, у которых родитель — winword, excel или powerpnt.
Формат: Правило Sigma в YAML · 30 очков
Напишите правило на очистку журнала аудита.
Формат: Правило Sigma в YAML · 30 очков