EventSentry unterstützt Windows-basierte zustandslose Sigma-Regeln. Wenn Sie eine Sigma-Regel anstelle eines klassischen Inhaltsfilters verwenden, werden die meisten Ereignisfiltereigenschaften automatisch deaktiviert, da sie in der Sigma-Regel definiert werden müssen:
•Event Log
•Event Severity
•Event Source
•Event Category
•Event ID
•Event User
EventSentry unterstützt die folgenden Sigma-Eigenschaften:
logsource:product
•windows
logsource:service
•application
•security
•system
•dns-server
•sysmon
detection:selection
•contains
•startswith
•endswith
•all
•re
•i
•m
•s
•base64
•base64offset
•utf16
•utf-16
•utf16le
•utf-16le
•utf16be
•utf-16be
•wide
•cased
•exists
•fieldref
•cidr
•windash
•gt
•gte
•lt
•lte
Die Ereignis-ID kann in jedem "selection" Bereich als EventID angegeben werden
Es ist nicht notwendig, die gesamte Sigma-Regel einzufügen, es müssen nur die unten aufgeführten Schlüsseleigenschaften angegeben werden:
•logsource
- product
- service
•detection
- selection
- condition
Ein Beispiel für eine Sigma-Regel ist unten abgebildet:
logsource:
product: windows
service: security
detection:
selection1:
EventID:
- 4625
- 4624
LogonType: 3
AuthenticationPackageName: 'NTLM'
WorkstationName|re: '^[A-Za-z0-9]{16}$'
selection2:
EventID: 4776
Workstation|re: '^[A-Za-z0-9]{16}$'
Port|gt: 8000
LogonType|exists: true
Username|cased: 'Administrator'
SubjectUsername|fieldref: Username
IpAddress|cidr: 172.21.2.0/23
CommandLine|windash: '//init'
condition: 1 of selection*
