Kırk Bir Saniyede Yönetici

Windows güvenlik günlüğünden dışa aktarılan olaylar SOC'a geldi. Aralarında hem rutin IT işlemleri hem de şüpheli bir dizi var, ikisi de aynı olay kimliğiyle başlıyor.

Mevcut kural yalnızca 'yeni hesap açıldı' (Event ID 4720) olayına bakıyor. Sorun şu: IT ekibi her gün stajyer hesabı açıyor, bu da kuralı sürekli tetikliyor.

Asıl tehlikeli olan tek başına hesap açılması değil, o hesabın hemen ardından yönetici grubuna eklenmesi (Event ID 4732). Mevcut kural bu ikinci adımı hiç görmüyor.

Kayıtları oku, iki olayı birbirine bağlayan Sigma korelasyon kuralını yerine koy, sigma convert ile ürettiği sorguyu gör.