mcpField
I
implementing-siem-correlation-rules-for-apt

implementing-siem-correlation-rules-for-apt

github.com/mukul975セキュリティ35.2k35 回インストール8 週間前に更新
リポジトリ

implementing-siem-correlation-rules-for-apt について

APT関連のラテラルムーブメントを対象に、Splunk SIEMの相関ルールを作成・監査するセキュリティスキルです。Sigmaルールの作成、SPLへの変換、Splunk REST API経由の登録を扱います。

主な機能

  1. 01複数イベントの相関ロジック作成
  2. 02Sigma検知ルールの記述
  3. 03SigmaルールをSplunk SPLに変換
  4. 04REST API経由で検索を登録
  5. 05ルールのカバレッジ不足を監査

活用シーン

  1. 01RDPログイン後のサービス導入を検知
  2. 02Pass-the-Hash活動の相関
  3. 03PsExec型ラテラルムーブメントの特定

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-siem-correlation-rules-for-apt

インストール後、Claude Code で/implementing-siem-correlation-rules-for-aptを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

APT 向け SIEM 相関ルールの実装

使用するタイミング

  • 環境内で APT 向けの SIEM 相関ルール機能を実装・設定するとき
  • コンプライアンス要件に沿ったセキュリティ統制を確立するとき
  • この分野のセキュリティアーキテクチャを構築・改善するとき
  • この実装が必要となるセキュリティ評価を実施するとき

前提条件

  • セキュリティオペレーションの概念とツールに関する基礎知識があること
  • 安全に実行するためのテスト環境またはラボ環境にアクセスできること
  • 必要な依存関係がインストールされた Python 3.8 以降
  • テスト活動に対する適切な認可を得ていること

手順

  1. 依存関係をインストールします: pip install requests pyyaml sigma-cli
  2. Splunk REST API に接続し、複数のホストにまたがる複数のイベントタイプを連鎖させる相関検索を定義します。
  3. 横方向移動のパターンについて、多段階の検知ロジックを表現する Sigma ルールを YAML で作成します:
    • 同一ターゲット上で 15 分以内に、RDP ログオン (4624 LogonType=10) の後にサービスインストール (7045) が続く
    • Pass-the-Hash: NTLM ログオン (4624 LogonType=3) の後に、管理ツールのプロセス作成 (4688) が続く
    • PsExec 型: 名前付きパイプの作成 (Sysmon 17/18) とリモートサービスの作成 (7045) を相関させる
  4. sigma-cli convert を使用して、Sigma ルールを Splunk SPL に変換します。
  5. REST API 経由で相関検索を Splunk ES にデプロイします。
  6. エージェントを実行して相関ルールを生成・インストールし、既存ルールのカバレッジの欠落を監査します。
python scripts/agent.py --splunk-url https://localhost:8089 --username admin --password changeme --output correlation_report.json

使用例

RDP 横方向移動チェーンの検知
index=wineventlog (EventCode=4624 Logon_Type=10) OR (EventCode=7045)
| transaction Computer maxspan=15m startswith=(EventCode=4624) endswith=(EventCode=7045)
| where eventcount >= 2
| table _time Computer Account_Name ServiceName
PsExec 横方向移動向け Sigma ルール
title: PsExec Lateral Movement Detection
logsource:
  product: windows
  service: sysmon
detection:
  pipe_created:
    EventID: 17
    PipeName|startswith: '\PSEXESVC'
  service_installed:
    EventID: 7045
    ServiceFileName|contains: 'PSEXESVC'
  timeframe: 5m
  condition: pipe_created | near service_installed
level: high

コメント

Markdown 対応