killvxk 实施 SIEM 检测用例
适用场景
以下情况使用本技能：
- SOC 团队需要从头构建或扩展其 SIEM 检测库
- 威胁评估识别出需要新检测规则的 ATT&CK 技术覆盖缺口
- 检测工程师需要结构化流程用于用例设计、测试和部署
- 合规要求强制要求特定检测能力（PCI DSS、HIPAA、SOX）
不适用于即席狩猎查询——用例是经过规范化、测试和维护的检测规则，而非探索性搜索。
前置条件
- 具有生产数据的 SIEM 平台（Splunk ES、Elastic Security 或 Microsoft Sentinel）
- ATT&CK Navigator 用于覆盖缺口分析
- 日志源已规范化为 CIM/ECS 字段标准
- 用例文档框架（Wiki、Git 仓库或检测工程平台）
- 具有攻击模拟工具的测试环境（Atomic Red Team、MITRE Caldera）
工作流程
步骤 1：评估检测覆盖缺口
将当前检测规则映射到 ATT&CK 并识别缺口：
import json
# 加载已映射到 ATT&CK 的当前检测规则
current_rules = [
{"name": "Brute Force Detection", "techniques": ["T1110.001", "T1110.003"]},
{"name": "Malware Hash Match", "techniques": ["T1204.002"]},
{"name": "Suspicious PowerShell", "techniques": ["T1059.001"]},
]
# 加载 ATT&CK Enterprise 技术
with open("enterprise-attack.json") as f:
attack = json.load(f)
all_techniques = set()
for obj in attack["objects"]:
if obj["type"] == "attack-pattern":
ext = obj.get("external_references", [])
for ref in ext:
if ref.get("source_name") == "mitre-attack":
all_techniques.add(ref["external_id"])
covered = set()
for rule in current_rules:
covered.update(rule["techniques"])
gaps = all_techniques - covered
print(f"Total techniques: {len(all_techniques)}")
print(f"Covered: {len(covered)} ({len(covered)/len(all_techniques)*100:.1f}%)")
print(f"Gaps: {len(gaps)}")
# 按威胁相关性排列缺口优先级
priority_techniques = [
"T1003", "T1021", "T1053", "T1547", "T1078",
"T1055", "T1071", "T1105", "T1036", "T1070"
]
priority_gaps = [t for t in priority_techniques if t in gaps]
print(f"Priority gaps: {priority_gaps}")
步骤 2：设计用例规格
使用标准化模板记录每个用例：
use_case_id: UC-2024-015
name: 通过 LSASS 访问进行凭据转储
description: 检测访问 LSASS 进程内存以提取凭据的工具
mitre_attack:
tactic: Credential Access (TA0006)
technique: T1003.001 - LSASS Memory
data_sources:
- Process: OS API Execution (Sysmon EventCode 10)
- Process: Process Access (Windows Security 4663)
log_sources:
- index: sysmon, sourcetype: XmlWinEventLog:Microsoft-Windows-Sysmon/Operational
- index: wineventlog, sourcetype: WinEventLog:Security
severity: High
confidence: Medium-High
false_positive_sources:
- 扫描 LSASS 的防病毒产品
- CrowdStrike Falcon 传感器
- Windows Defender ATP
- SCCM 客户端
tuning_notes: >
为合法访问 LSASS 的已知安全工具维护排除列表。
每季度审查排除列表，检查新部署的安全产品。
sla: 检测后 5 分钟内告警
owner: detection_engineering_team
status: Production
created: 2024-03-15
last_tested: 2024-03-15
步骤 3：在各平台实施检测逻辑
Splunk ES 关联搜索：
| tstats summariesonly=true count from datamodel=Endpoint.Processes
where Processes.process_name="lsass.exe"
by Processes.dest, Processes.user, Processes.process_name,
Processes.parent_process_name, Processes.parent_process
| `drop_dm_object_name(Processes)`
| lookup lsass_access_whitelist parent_process AS parent_process OUTPUT is_whitelisted
| where isnull(is_whitelisted) OR is_whitelisted!="true"
| `credential_dumping_lsass_filter`
或使用原始 Sysmon 数据：
index=sysmon EventCode=10 TargetImage="*\\lsass.exe"
GrantedAccess IN ("0x1010", "0x1038", "0x1fffff", "0x40")
NOT [| inputlookup lsass_whitelist.csv | fields SourceImage]
| stats count, values(GrantedAccess) AS access_flags by Computer, SourceImage, SourceUser
| where count > 0
Elastic Security EQL 规则：
process where event.type == "access" and
process.name == "lsass.exe" and
not process.executable : (
"?:\\Windows\\System32\\svchost.exe",
"?:\\Windows\\System32\\csrss.exe",
"?:\\Program Files\\CrowdStrike\\*",
"?:\\ProgramData\\Microsoft\\Windows Defender\\*"
)
Microsoft Sentinel KQL 规则：
DeviceProcessEvents
| where Timestamp > ago(1h)
| where FileName == "lsass.exe"
| where ActionType == "ProcessAccessed"
| where InitiatingProcessFileName !in ("svchost.exe", "csrss.exe", "MsMpEng.exe")
| project Timestamp, DeviceName, InitiatingProcessFileName,
InitiatingProcessCommandLine, AccountName
步骤 4：使用攻击模拟进行测试
使用 Atomic Red Team 验证检测规则：
# 安装 Atomic Red Team
IEX (IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing)
Install-AtomicRedTeam -getAtomics
# 执行 T1003.001 - 凭据转储
Invoke-AtomicTest T1003.001 -TestNumbers 1,2,3
# 执行 T1053.005 - 计划任务
Invoke-AtomicTest T1053.005 -TestNumbers 1
# 执行 T1547.001 - 注册表运行键
Invoke-AtomicTest T1547.001 -TestNumbers 1,2
在 SIEM 中验证检测：
index=sysmon EventCode=10 TargetImage="*\\lsass.exe"
earliest=-1h
| stats count by Computer, SourceImage, GrantedAccess
| where count > 0
记录测试结果：
测试结果 — UC-2024-015
Atomic 测试 T1003.001-1（Mimikatz）： 已检测（47 秒内触发告警）
Atomic 测试 T1003.001-2（ProcDump）： 已检测（32 秒内触发告警）
Atomic 测试 T1003.001-3（任务管理器）：漏报（被白名单排除 — 预期行为）
误报率（7 天回测）： 2 个事件（CrowdStrike 扫描 — 已添加到白名单）
步骤 5：部署并监控用例健康状态
追踪检测规则效能：
-- 用例触发频率
index=notable
| stats count AS fires, dc(src) AS unique_sources,
dc(dest) AS unique_dests
by rule_name, status_label
| eval true_positive_rate = round(
sum(eval(if(status_label="Resolved - True Positive", 1, 0))) /
count * 100, 1)
| sort - fires
| table rule_name, fires, unique_sources, unique_dests, true_positive_rate
-- 检测延迟监控
index=notable
| eval detection_latency = _time - orig_time
| stats avg(detection_latency) AS avg_latency_sec,
perc95(detection_latency) AS p95_latency_sec
by rule_name
| eval avg_latency_min = round(avg_latency_sec / 60, 1)
| sort - avg_latency_sec
步骤 6：维护用例库
为所有检测用例建立生命周期管理：
用例生命周期
━━━━━━━━━━━━━━━━━━
1. 提议 → 识别新检测需求（威胁情报、缺口分析、事件发现）
2. 开发 → 编写查询、误报分析、调优
3. 测试 → Atomic Red Team 验证，7 天回测
4. 预发布 → 以仅告警模式部署（不创建事件）14 天
5. 生产 → 全面生产，包含事件创建和 SOAR 集成
6. 审查 → 每季度审查效能、误报率、相关性
7. 弃用 → 技术不再相关或被更好的检测所替代
核心概念
| 术语 | 定义 |
|---|---|
| 用例（Use Case） | 具有文档化逻辑、测试、调优和生命周期管理的规范化检测规则 |
| 检测工程（Detection Engineering） | 将 SIEM 检测规则的设计、测试和维护作为软件开发规范的实践 |
| 关联搜索（Correlation Search） | 结合来自多个来源的事件以识别攻击模式的 SIEM 查询 |
| 误报率（False Positive Rate） | 属于良性活动的告警比例——生产用例目标 <20% |
| 检测延迟（Detection Latency） | 事件发生到告警生成之间的时间——关键检测目标 <5 分钟 |
| ATT&CK 覆盖率（ATT&CK Coverage） | 至少有一条生产检测规则的相关 ATT&CK 技术比例 |
工具与系统
- Splunk ES：具有关联搜索、基于风险告警和事件审查功能的企业级 SIEM
- Elastic Security：具有检测规则、EQL 序列和基于 ML 异常检测的 SIEM
- Microsoft Sentinel：具有 KQL 分析规则、Fusion ML 引擎和 Lighthouse 多租户的云 SIEM
- Atomic Red Team：用于根据 ATT&CK 技术测试检测规则的开源攻击模拟框架
- ATT&CK Navigator：用于跨技术映射和追踪检测覆盖范围的 MITRE 可视化工具
常见场景
- 事件后用例：勒索软件事件后，根据调查发现的初始访问向量构建检测
- 合规驱动：PCI DSS 要求检测管理账户滥用——为 4672/4720/4732 事件构建用例
- 威胁情报驱动：新 APT 组织针对您所在行业——根据其记录的 TTP 构建用例
- 红队发现：紫队演练识别盲区——将发现转化为生产检测规则
- SIEM 迁移：从 QRadar 迁移到 Splunk——在新平台上转换和验证所有现有用例
输出格式
用例部署报告
━━━━━━━━━━━━━━━━━━━━━━━━━
季度： 2024 年第一季度
用例总数： 147 条（生产：128 条，预发布：12 条，开发中：7 条）
本季度新部署：
UC-2024-012 Kerberoasting 检测（T1558.003） — 生产
UC-2024-013 DLL 侧加载（T1574.002） — 生产
UC-2024-014 计划任务持久化（T1053.005） — 生产
UC-2024-015 LSASS 内存访问（T1003.001） — 预发布
ATT&CK 覆盖率：
整体： 67% 的相关技术（从 61% 提升）
初始访问： 78%
执行： 82%
持久化： 71%
凭据访问： 65%
横向移动： 58%（优先缺口领域）
健康指标：
平均真阳性率： 74%（目标：>70%）
平均检测延迟： 2.3 分钟（目标：<5 分钟）
已弃用用例： 3 条（被改进版本替代）