التصنيف: wazuh

مرحبا..

حاولت أفهم كيف أكتب رولز جديدة في wazuh

الرولز عبارة عن ملفات xml وهذا مثال من الرولز الموجودة في الأداة:

الرول السابق مشتق من الرول رقم 5716 (وهو authentication failed) لكن هذا الرول يضيف ان يكون الـsource IP 1.1.1.1

بالنسبة لتجربة اليوم، هي تجربة parent-child Execution

cmd.exe → notepad.exe

قبل أن أنفذها كتبت الرول التالي :

الرول ماتش للرول sysmon Event 1

التنفيذ فتحت cmd ومن خلاله فتحت notepad.exe

وصل الأليرت .. بعد محاولات مختلفة لمدة 4 ساعات أكتشفت بعدها أن الاليرت id مكرر🥲 وبمجرد ماغيرته وعدت التجربة أشتغل الأليرت (وهذه من وجهة نظري نقطة سيئة لانه المنطقي انه من ماينحفظ من الأساس طالما في تكرار)