#detection_engineering — Public Fediverse posts

ISO/IEC 27001:2022 и MITRE ATT&CK в современной архитектуре кибербезопасности: почему их нельзя противопоставлять

Архитектурный конфликт между ISO/IEC 27001:2022 и MITRE ATT&CK во многом искусственен. Современная кибербезопасность требует интеграции governance, SOC, DFIR и telemetry-driven detection в единую adaptive security ecosystem.

https://habr.com/ru/articles/1036654/

#ISO_IEC_27001_2022 #MITRE_ATT_CK #SOC #DFIR #Detection_Engineering #ThreatInformed_Defense #Cybersecurity_Governance

BYOVD-атаки на ядро Windows через драйверы: разбираю механику, воспроизвожу, строю защиту

Вы настроили Sysmon, у вас работает EDR, события летят в SIEM. Создаётся процесс, вы видите Event ID 1. Загружается DLL, Event ID 7. Всё под контролем. А теперь кто-то загружает в систему один .sys-файл. Обычный, подписанный, из прошлого века. И события пропадают. Не потому что Sysmon упал или EDR отключили. Они работают. Просто ядро Windows больше не считает нужным им что-то рассказывать. Я залез внутрь, чтобы понять, как это устроено. Поднял WinDbg, подключился к ядру, нашёл структуры, где хранятся callback'и мониторинга. Обнулил их, повторив технику руткита Lazarus. Sysmon на месте, PID живой, но лог пустой. Меня зовут Роман Мгоев, я специалист по анализу киберугроз в Альфа-Банке, в статье пройду этот путь целиком: начиная с архитектуры колец защиты Windows, byte-патчей в памяти ядра и разбора FudModule от Lazarus обеих версий, до свежих техник zerosalarium и разбора публичных тулкитов, а в конце поделюсь семью направлениями детектирования с готовыми правилами для SIEM. Отдельный блок — про аудит драйверов, которых ещё нет ни в одной базе.

https://habr.com/ru/companies/alfa/articles/1011302/

#BYOVD #EDR #Windows_kernel #Sysmon #SIEM #Lazarus #ransomware #reverse_engineering #SOC #detection_engineering

BYOVD-атаки на ядро Windows через драйверы: разбираю механику, воспроизвожу, строю защиту

Вы настроили Sysmon, у вас работает EDR, события летят в SIEM. Создаётся процесс, вы видите Event ID 1. Загружается DLL, Event ID 7. Всё под контролем. А теперь кто-то загружает в систему один .sys-файл. Обычный, подписанный, из прошлого века. И события пропадают. Не потому что Sysmon упал или EDR отключили. Они работают. Просто ядро Windows больше не считает нужным им что-то рассказывать. Я залез внутрь, чтобы понять, как это устроено. Поднял WinDbg, подключился к ядру, нашёл структуры, где хранятся callback'и мониторинга. Обнулил их, повторив технику руткита Lazarus. Sysmon на месте, PID живой, но лог пустой. Меня зовут Роман Мгоев, я специалист по анализу киберугроз в Альфа-Банке, в статье пройду этот путь целиком: начиная с архитектуры колец защиты Windows, byte-патчей в памяти ядра и разбора FudModule от Lazarus обеих версий, до свежих техник zerosalarium и разбора публичных тулкитов, а в конце поделюсь семью направлениями детектирования с готовыми правилами для SIEM. Отдельный блок — про аудит драйверов, которых ещё нет ни в одной базе.

https://habr.com/ru/companies/alfa/articles/1011302/

#BYOVD #EDR #Windows_kernel #Sysmon #SIEM #Lazarus #ransomware #reverse_engineering #SOC #detection_engineering

BYOVD-атаки на ядро Windows через драйверы: разбираю механику, воспроизвожу, строю защиту

Вы настроили Sysmon, у вас работает EDR, события летят в SIEM. Создаётся процесс, вы видите Event ID 1. Загружается DLL, Event ID 7. Всё под контролем. А теперь кто-то загружает в систему один .sys-файл. Обычный, подписанный, из прошлого века. И события пропадают. Не потому что Sysmon упал или EDR отключили. Они работают. Просто ядро Windows больше не считает нужным им что-то рассказывать. Я залез внутрь, чтобы понять, как это устроено. Поднял WinDbg, подключился к ядру, нашёл структуры, где хранятся callback'и мониторинга. Обнулил их, повторив технику руткита Lazarus. Sysmon на месте, PID живой, но лог пустой. Меня зовут Роман Мгоев, я специалист по анализу киберугроз в Альфа-Банке, в статье пройду этот путь целиком: начиная с архитектуры колец защиты Windows, byte-патчей в памяти ядра и разбора FudModule от Lazarus обеих версий, до свежих техник zerosalarium и разбора публичных тулкитов, а в конце поделюсь семью направлениями детектирования с готовыми правилами для SIEM. Отдельный блок — про аудит драйверов, которых ещё нет ни в одной базе.

https://habr.com/ru/companies/alfa/articles/1011302/

#BYOVD #EDR #Windows_kernel #Sysmon #SIEM #Lazarus #ransomware #reverse_engineering #SOC #detection_engineering

BYOVD-атаки на ядро Windows через драйверы: разбираю механику, воспроизвожу, строю защиту

Вы настроили Sysmon, у вас работает EDR, события летят в SIEM. Создаётся процесс, вы видите Event ID 1. Загружается DLL, Event ID 7. Всё под контролем. А теперь кто-то загружает в систему один .sys-файл. Обычный, подписанный, из прошлого века. И события пропадают. Не потому что Sysmon упал или EDR отключили. Они работают. Просто ядро Windows больше не считает нужным им что-то рассказывать. Я залез внутрь, чтобы понять, как это устроено. Поднял WinDbg, подключился к ядру, нашёл структуры, где хранятся callback'и мониторинга. Обнулил их, повторив технику руткита Lazarus. Sysmon на месте, PID живой, но лог пустой. Меня зовут Роман Мгоев, я специалист по анализу киберугроз в Альфа-Банке, в статье пройду этот путь целиком: начиная с архитектуры колец защиты Windows, byte-патчей в памяти ядра и разбора FudModule от Lazarus обеих версий, до свежих техник zerosalarium и разбора публичных тулкитов, а в конце поделюсь семью направлениями детектирования с готовыми правилами для SIEM. Отдельный блок — про аудит драйверов, которых ещё нет ни в одной базе.

https://habr.com/ru/companies/alfa/articles/1011302/

#BYOVD #EDR #Windows_kernel #Sysmon #SIEM #Lazarus #ransomware #reverse_engineering #SOC #detection_engineering

----------------

🛠️ Tool
===================

Executive summary: The TrustedSec Sysmon Community Guide is an open-source reference that documents Microsoft Sysinternals Sysmon capabilities, event taxonomy, configuration guidance, and approaches for detection engineering. Authored and maintained by Carlos Perez of TrustedSec, the guide is published under a Creative Commons Attribution-ShareAlike 4.0 license.

Technical details:
• The guide catalogs Sysmon event families including process events (creation, termination, access), file events (create, delete, stream hash, create-time change), network events (network connections, DNS query), image loading, named pipes, driver loading, registry actions, create remote thread, raw access read, WMI events, clipboard capture, and process image tampering.
• Platform-specific coverage includes the Sysmon kernel driver and Windows-focused internals as well as Linux support via sysinternalsEBPF that captures equivalent telemetry on Linux hosts.
• Configuration and detection-engineering chapters provide conceptual approaches to crafting filters and detection rules, and the repository structure maps topics to chapter files (e.g., process-creation.md, network-connections.md).

How it works (conceptual):
• The guide describes how Sysmon produces structured event telemetry accessible to SIEMs, and how eBPF-based collectors on Linux mirror similar event classes.
• Sample topics explain event fields used for correlation (process hashes, parent/child relationships, command line, network endpoints, registry keys) without prescribing a single configuration, acknowledging environment variability.

Use cases:
• Central reference for SOCs building Sysmon configurations and detection logic.
• Baseline for threat hunting using process, file, and network indicators documented in the chapters.

Limitations:
• The guide emphasizes community contributions and does not prescribe one-size-fits-all configurations; specifics must be adapted per environment.
• No vendor-specific deployment steps are included; the document focuses on capabilities and detection concepts.

References: TrustedSec LLC, Carlos Perez, Creative Commons BY-SA 4.0. #sysmon #detection_engineering #sysinternals #eBPF #tool

🔗 Source: https://github.com/trustedsec/SysmonCommunityGuide