Windows Security User Activity Sigma Rules content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Windows Security User Activity Sigma Rules контент багц нь SOC Prime-ийн Threat Detection Marketplace-ээс сонгосон Sigma дүрмүүдийн цуглуулга юм. Энэ багцын дүрмүүд эцсийн хэрэглэгчийн үйлдлээс үүдэлтэй Windows аюулгүй байдлын заналхийллүүдэд чиглэсэн. Тэд одоо байгаа Windows Illuminate контенттой шууд ажиллахаар тохируулагдсан.
Та энэ контент багцыг идэвхжүүлснээр эдгээр дүрмүүд Sigma Rules хуудсанд харагдана. Шинэ дүрмүүд анхдагчаар идэвхгүй байдаг. Өөрийн орчинд аль дүрмийг идэвхжүүлэхээ та сонгоно.
Тэмдэглэл
Дүрмийг идэвхжүүлэхээс өмнө сэрэмжлүүлгүүдийг (alert) заавал хянаж үзнэ үү. Сүлжээний тохиргооноос шалтгаалан дүрэм бүр гүйцэтгэлд нөлөөлж болно. Таньд өөр stream-үүд (жишээлбэл Sysmon эсвэл PowerShell) мөн нэмэх шаардлага гарч болно.
Шаардлага
Windows Security Event Logs контент багц
Stream-ийн тохиргоо
Энэ технологийн багц нэг stream ашигладаг:
Illuminate:Windows Security Event Log MessagesЮу багтсан бэ
Энэ контент багцад 38 Sigma дүрэм багтсан.
- Critical заналхийллийн түвшин: 1 дүрэм
- High заналхийллийн түвшин: 26 дүрэм
- Medium заналхийллийн түвшин: 11 дүрэм
Дүрэм бүрд засварлах алхмууд (remediation steps) багтсан бөгөөд Sigma дүрмийн дагуу сэрэмжлүүлэг гарахад харагдана. Дэлгэрэнгүйг Remediation Steps хэсгээс үзнэ үү.
Sigma дүрмийн тохиргоо
Та энэ контент багцыг идэвхжүүлэхэд шинэ Sigma дүрмүүд Security Data Lake дахь Sigma Rules хуудсанд нэмэгдэнэ. Дүрмүүдийг идэвхжүүлж, сэрэмжлүүлгийг тохируулахын тулд доорх алхмуудыг дагана уу.
- Security > Sigma Rules хуудсан дээрээс сонгосон Sigma дүрмүүдээ идэвхжүүлнэ.
Тэмдэглэл
Энэ контент багцаас нэмэгдсэн Sigma дүрмүүдийг олохын тулд Illuminate гэж хайна уу. Энэ багцын бүх дүрмийн гарчиг Illuminate – Windows Security гэж эхэлнэ.
- Идэвхгүй Sigma дүрмийг идэвхжүүлэхийн тулд Enabled баганад байгаа toggle-ийг дарна.
- Шаардлагатай бол дүрмүүдийг шинэчилнэ. Зарим дүрэм олон худал дохиолол (false positive) үүсгэж болох тул тохируулах хэрэгтэй. Дүрмийн гарчгийг дарж засварлах цонхыг нээгээд дүрмийн тодорхойлолт болон бусад сонголтыг харна. Гэхдээ дүрмийн тодорхойлолтыг оруулаад бүх сонголтыг засах боломжгүй гэдгийг анхаараарай.
- Хэрэв дүрмийн тодорхойлолтыг өөрчлөх шаардлагатай бол эхлээд More цэснээс Clone-ийг сонгон дүрмийг хуулбарлана. Хуулбарласан дүрмийн тодорхойлолт зэрэг бүх талбар, сонголтыг өөрчилж болно.
Sigma дүрмийг үүсгэх, ашиглах талаарх бүрэн мэдээллийг Sigma Rules хэсгээс үзнэ үү.
- Шаардлагатай бол event definition-ийг засварлаж, шинэчилнэ. Sigma дүрэм бүр Alerts хуудасны Event Definitions таб дээр тохирох event definition-тэй. Идэвхжүүлсэн Sigma дүрмүүдийнхээ тохирох event definition-ийг хянана уу. Та хайлтын шүүлтүүр, сэрэмжлүүлэг, мөн өөрийн талбар (custom field) нэмж болно.
Тэмдэглэл
Sigma дүрмийг идэвхжүүлэхэд event definition анхдагчаар идэвхжинэ. Event Definition хуудсан дээр Sigma дүрмийг идэвхгүй болгохгүйгээр event болон тодорхойлсон сэрэмжлүүлгийг идэвхгүй болгож болно.