"sysmon" etiketli 2 yazı.
EDR çözümlerinin kullanıcı katmanındaki (User-land) izleme mekanizmalarını tamamen bypass eden ve doğrudan çekirdek katmanıyla (Kernel-land) konuşan Direct Syscalls ve API Unhooking tekniklerini mercek altına alıyoruz. Bu çalışmada, bellek manipülasyonlarını ve sinsi yükleyicileri (Loaders) yakalamak adına Sysmon Event ID 10 (ProcessAccess) and ETW telemetrisi üzerinden Wazuh üzerinde yüksek doğruluklu (high-fidelity) koruyucu kurallar kurgulayacağız.
Bu çalışma, Windows işletim sistemlerinde en sinsi kalıcılık yöntemlerinden biri olan WMI Event Subscription tekniğinin (MITRE ATT&CK T1546.003) Purple Team metodolojisiyle analiz edilmesini ve tespit edilmesini konu almaktadır. Sysmon Event ID 19, 20 ve 21 telemetry verileri kullanılarak Wazuh üzerinde özel tespit kuralları ve portable bir Sigma kuralı geliştirilmiştir.
