Sysmon + Sigma: xây dựng khả năng phát hiện trên endpoint Windows

Sysmon ghi lại tạo tiến trình (Event ID 1), kết nối mạng (3), tạo tệp (11), truy cập tiến trình (10)… Dùng cấu hình cộng đồng làm điểm khởi đầu rồi tinh chỉnh.

Sigma là định dạng YAML mô tả luật phát hiện, có thể chuyển đổi sang truy vấn Splunk, Elastic, Microsoft Sentinel bằng công cụ sigma-cli.

title: PowerShell khởi chạy từ hộp thoại Run
logsource: { product: windows, category: process_creation }
detection:
  sel:
    ParentImage|endswith: '\\explorer.exe'
    Image|endswith: '\\powershell.exe'
    CommandLine|contains: ['-enc', 'iwr ', 'iex']
  condition: sel
level: high