Lab · Tespit Kuralları

Kuralı Yaz

Ekip aynı saldırıyı üçüncü kez kaçırdı. SIEM'de kural yok, yalnız ham log akıyor.

Sigma biçiminde tespit kuralı yaz. Seçim alanlarını, koşulu ve zaman penceresini tanımla. Kuralı önce temel çizgi verisinde koştur, sonra saldırı örneğinde.

Kural saldırıyı yakalayıp temiz veride sessiz kaldığında sistem flag'i basar.

Eşiği aşırı düşürme. Yanlış pozitif oranı yüzde beşi geçerse kural reddedilir.

İnceleyeceğin veriler

dc01-olay-gunlugu.txt32 satır

eksik-kural.sigma.yml32 satır

Sorular

0/5 doğru

Olay günlüğünde yeni hizmet kurulumunu gösteren olay kimliği kaçtır?

Beklenen biçim: olay kimliği

Kurulan hizmetin adı nedir?

Beklenen biçim: hizmet adı

4688 olayında cmd.exe sürecini başlatan ebeveyn sürecin dosya adı nedir?

Beklenen biçim: dosya adı (exe)

Sigma kuralının condition satırında hangi seçim bloğunun adı yazmalı?

Beklenen biçim: tek kelime

Hizmet kurarak kalıcılık sağlamayı anlatan ATT&CK tekniği hangi kimliktedir?

Beklenen biçim: Txxxx.xxx

Cevaplarını kontrol edebilmemiz için giriş yapman gerekir.