Периметр

ТОО «Астана Логистик» — логистическая компания. Вас попросили написать правила обнаружения для SIEM. Формат — Sigma: общий язык, который потом переводится в запрос любой системы.

Выборка за сутки нарочно смешанная. Рядом с событиями, которые нужно ловить, лежат похожие, но законные: администраторы ходят по RDP из офиса, службы ставятся из Program Files, людей добавляют в обычные группы. Правило, которое цепляет всё подряд, — плохое правило.

Каждое правило после отправки выполняется на этой выборке. Вы увидите, сколько целевых событий оно поймало и сколько лишних зацепило. Зачёт — когда поймано всё и лишних ноль. Дорабатывайте и отправляйте снова: попытки не ограничены.

Опорный вид правила: title: Название logsource: product: windows detection: selection: event.code: 4624 filter: source.ip|startswith: '10.' condition: selection and not filter