مرحبا..
حاولت أفهم كيف أكتب رولز جديدة في wazuh
الرولز عبارة عن ملفات xml وهذا مثال من الرولز الموجودة في الأداة:
الرول السابق مشتق من الرول رقم 5716 (وهو authentication failed) لكن هذا الرول يضيف ان يكون الـsource IP 1.1.1.1
بالنسبة لتجربة اليوم، هي تجربة parent-child Execution
cmd.exe → notepad.exe
قبل أن أنفذها كتبت الرول التالي :
الرول ماتش للرول sysmon Event 1
التنفيذ فتحت cmd ومن خلاله فتحت notepad.exe
وصل الأليرت .. بعد محاولات مختلفة لمدة 4 ساعات أكتشفت بعدها أن الاليرت id مكرر🥲 وبمجرد ماغيرته وعدت التجربة أشتغل الأليرت (وهذه من وجهة نظري نقطة سيئة لانه المنطقي انه من ماينحفظ من الأساس طالما في تكرار)
Shahad Blog 