securityworld

Forwarded from dfir

برای ایجاد یک رول تشخیصی برای شناسایی حملات APT34 با استفاده از اسکریپت Painless در Elasticsearch، ابتدا باید مشخص کنیم که این نوع حملات چه ویژگی‌ها و الگوهایی دارند. APT34 معمولاً به استفاده از تکنیک‌هایی مانند فیشینگ، اسکریپت‌های پاورشل مخرب، و استفاده از ابزارهای خاص مانند POWBAT و POWRUNER مشهور است.

برای ایجاد یک رول تشخیصی، فرض کنید ما به دنبال رفتارهای مشکوک مانند اجرای پاورشل با پارامترهای رمزگذاری شده هستیم. این یکی از تکنیک‌هایی است که توسط APT34 استفاده می‌شود.

✅ نمونه‌ای از رول تشخیصی

💯 1. شناسایی اجرای پاورشل با پارامترهای رمزگذاری شده
ابتدا باید الگوهایی که می‌خواهیم شناسایی کنیم را مشخص کنیم. برای مثال، می‌توانیم به دنبال رشته‌هایی در لاگ‌ها باشیم که شامل پارامتر -EncodedCommand هستند که برای اجرای کدهای پاورشل رمزگذاری شده استفاده می‌شود.

💯 2. ایجاد رول در Kibana
در Kibana، می‌توانید یک رول تشخیصی جدید ایجاد کنید. در اینجا یک نمونه از اسکریپت Painless برای شناسایی اجرای پاورشل با پارامترهای رمزگذاری شده ارائه می‌شود:

{
"trigger": {
"schedule": {
"interval": "1m"
}
},
"input": {
"search": {
"request": {
"indices": ["logs-*"],
"body": {
"query": {
"bool": {
"must": [
{
"match_phrase": {
"command_line": "-EncodedCommand"
}
},
{
"match_phrase": {
"process.name": "powershell.exe"
}
}
]
}
}
}
}
}
},
"condition": {
"script": {
"source": "ctx.payload.hits.total.value > 0"
}
},
"actions": {
"log": {
"logging": {
"text": "Potential APT34 activity detected: PowerShell with EncodedCommand"
}
}
}
}
`

🔸 توضیحات اسکریپت
- trigger: این بخش تعیین می‌کند که رول هر یک دقیقه اجرا شود.
- input: در این بخش مشخص می‌شود که رول بر روی شاخص‌هایی که لاگ‌ها را نگه می‌دارند (`logs-*`) اجرا شود. جستجو به دنبال لاگ‌هایی است که شامل رشته `-EncodedCommand` در فیلد `command_line` و `powershell.exe` در فیلد `process.name` هستند.
- condition: این شرط بررسی می‌کند که آیا تعداد لاگ‌های یافت شده بیشتر از صفر است یا نه.
- actions: در این بخش، اگر شرط برقرار باشد، یک پیام لاگ می‌فرستد که فعالیت مشکوک APT34 شناسایی شده است.

👍 نکات مهم
- تطبیق لاگ‌ها: اطمینان حاصل کنید که شاخص‌های شما شامل فیلدهایی مانند `command_line` و `process.name` باشند.
- بهبود رول: می‌توانید رول را بر اساس نیازهای خاص خود بهبود دهید، مانند افزودن شرایط دیگر یا جستجوی الگوهای اضافی.

این یک مثال ساده برای شروع است. بسته به نیازهای خاص و لاگ‌های موجود، می‌توانید این رول را پیچیده‌تر کنید.

2.03K views08:25