"threat-hunting" etiketli 2 yazı.
Bir dosyanın zararlı olup olmadığını anlamak her zaman antivirüs veya hash kontrolü yapmak kadar basit değil. Dosya üzerinde yapılan küçük değişiklikler bile klasik imza tabanlı tespit mekanizmalarını etkisiz hale getirebiliyor. Bu yazıda, YARA'nın ne olduğunu, neden ihtiyaç duyulduğunu ve temel olarak nasıl çalıştığını inceliyoruz.
Bu çalışma, Windows işletim sistemlerinde en sinsi kalıcılık yöntemlerinden biri olan WMI Event Subscription tekniğinin (MITRE ATT&CK T1546.003) Purple Team metodolojisiyle analiz edilmesini ve tespit edilmesini konu almaktadır. Sysmon Event ID 19, 20 ve 21 telemetry verileri kullanılarak Wazuh üzerinde özel tespit kuralları ve portable bir Sigma kuralı geliştirilmiştir.
