mcpField
I
implementing-siem-correlation-rules-for-apt

implementing-siem-correlation-rules-for-apt

github.com/mukul975安全35.2k35 次安装8 周前更新
代码仓库

关于 implementing-siem-correlation-rules-for-apt

用于创建和审计 Splunk SIEM APT 横向移动关联规则的安全技能。它结合 Sigma 规则编写、转换为 SPL，以及通过 Splunk REST API 部署规则。

主要功能

  1. 01创建多事件关联逻辑
  2. 02编写 Sigma 检测规则
  3. 03将 Sigma 规则转换为 Splunk SPL
  4. 04通过 REST API 部署搜索
  5. 05审计规则覆盖缺口

适用场景

  1. 01检测 RDP 登录后安装服务的链路
  2. 02关联 Pass-the-Hash 活动
  3. 03识别 PsExec 式横向移动

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-siem-correlation-rules-for-apt

安装后在 Claude Code 中输入/implementing-siem-correlation-rules-for-apt确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

为 APT 实施 SIEM 关联规则

何时使用

  • 在环境中部署或配置针对 APT 的 SIEM 关联规则实施能力时
  • 在建立与合规要求一致的安全控制时
  • 在为该领域构建或改进安全架构时
  • 在进行需要此实施的安全评估时

前提条件

  • 熟悉安全运营概念和工具
  • 可访问测试或实验环境以安全执行
  • 已安装所需依赖的 Python 3.8+
  • 为任何测试活动获得适当授权

操作说明

  1. 安装依赖：pip install requests pyyaml sigma-cli
  2. 连接到 Splunk REST API，并定义跨主机串联多个事件类型的关联搜索。
  3. 用 YAML 构建 Sigma 规则，表达针对横向移动模式的多步检测逻辑：
    • RDP 登录（4624 LogonType=10）后 15 分钟内在同一目标上安装服务（7045）
    • Pass-the-Hash：NTLM 登录（4624 LogonType=3）后创建管理工具进程（4688）
    • PsExec 风格：命名管道创建（Sysmon 17/18）与远程服务创建（7045）关联
  4. 使用 sigma-cli convert 将 Sigma 规则转换为 Splunk SPL。
  5. 通过 REST API 将关联搜索部署到 Splunk ES。
  6. 运行 Agent 以生成并安装关联规则，然后审计现有规则以查找覆盖缺口。
python scripts/agent.py --splunk-url https://localhost:8089 --username admin --password changeme --output correlation_report.json

示例

检测 RDP 横向移动链
index=wineventlog (EventCode=4624 Logon_Type=10) OR (EventCode=7045)
| transaction Computer maxspan=15m startswith=(EventCode=4624) endswith=(EventCode=7045)
| where eventcount >= 2
| table _time Computer Account_Name ServiceName
针对 PsExec 横向移动的 Sigma 规则
title: PsExec Lateral Movement Detection
logsource:
  product: windows
  service: sysmon
detection:
  pipe_created:
    EventID: 17
    PipeName|startswith: '\PSEXESVC'
  service_installed:
    EventID: 7045
    ServiceFileName|contains: 'PSEXESVC'
  timeframe: 5m
  condition: pipe_created | near service_installed
level: high

评论

支持 Markdown