Инженерия обнаружения

Проекты

• Инженерия обнаружения

  Custom SIEM + Sentinel BAS

  SIEM на Python в паре с движком симуляции атак, который измеряет, срабатывает ли каждое правило обнаружения на самом деле.

  • Sigma
  • MITRE ATT&CK
  • Python

  Подробнее о проекте Результаты проверки по техникам Исходный код на GitHub

• Лаборатория Purple Team

  Active Directory lab

  Лаборатория Active Directory для моделирования атак и проверки обнаружения в SOC. Цепочки атак сопоставлены с телеметрией Windows и Sysmon и техниками MITRE ATT&CK.

  • Active Directory
  • Sysmon
  • MITRE ATT&CK

  Исходный код на GitHub Читать статью

• Инженерия безопасности

  ARGUS

  16 детекторов угроз с разметкой MITRE ATT&CK следят за компьютером с Windows, на котором работает ARGUS.

  • Python
  • Local AI
  • Windows

  Как ARGUS обнаруживает угрозы Подробнее о проекте

Статьи

• Август 20265 мин чтения

  Full Kill Chain: From an LLMNR Broadcast to Domain Admin in My Own Active Directory Lab

  Nine attack phases, nine matching detections — red team and blue team, same person, same lab.

  • active directory
  • blue team
  • windows server
  • cybersecurity
  • red teaming

  Читать статью

• Август 20263 мин чтения

  Building a Detection Validation Engine — and Finding Out My Detection Rule Couldn’t Physically Fire

  Somewhere in building a SIEM and an Active Directory attack lab separately, I kept hitting the same annoying question: how do I actually know a detection rule works?

  • blue team
  • cybersecurity
  • threat detection
  • atomic red team
  • red team

  Читать статью

• Август 20264 мин чтения

  I Built My Own SIEM From Scratch. Here’s What Broke, and What I Learned Fixing It.

  Not another “top 10 SIEM tools” listicle — the actual debugging notes from building one.

  • software engineering
  • blue team
  • cybersecurity
  • siem
  • red team

  Читать статью

Правила Sigma

Три правила из моей SIEM, каждое привязано к технике ATT&CK, которую оно обнаруживает. Полный набор — на GitHub.

• Credential Dumping Tool ExecutionT1003 OS Credential DumpingКритический
• Encoded PowerShell Command ExecutionT1059.001 Command and Scripting Interpreter: PowerShellВысокий
• Suspicious Access to Administrative ShareT1570 Lateral Tool TransferСредний

Посмотреть логику обнаружения Все правила на GitHub

Техники и инструменты

Sigma

Независимый от платформы формат, в котором написаны правила обнаружения SIEM.

MITRE ATT&CK

Каждое правило и детектор помечены техникой, которую они обнаруживают, поэтому покрытие можно считать по техникам.

Atomic Red Team

Техники атак, которые Sentinel BAS запускает против SIEM, чтобы проверить, срабатывает ли каждое правило.

Sysmon

Телеметрия Windows из лаборатории Active Directory, где каждый путь атаки сопоставлен со следами, которые он оставляет в журналах.

Корреляция цепочек атак

SIEM объединяет связанные оповещения в пределах 60-минутного окна в одну цепочку.