building-detection-rule-with-splunk-spl

Construindo Regras de Detecção com Splunk SPL

Visão Geral

Splunk Search Processing Language (SPL) é a principal linguagem de consulta usada no Splunk Enterprise Security para construir pesquisas de correlação que detectam eventos e padrões suspeitos. Uma regra de detecção bem elaborada agrega, correlaciona e enriquece eventos de segurança para gerar eventos notáveis acionáveis para analistas de SOC. Em média, os SIEMs corporativos cobrem apenas 21% das técnicas MITRE ATT&CK, tornando a escrita habilidosa de regras SPL essencial para fechar lacunas de detecção.

Quando Usar

• Ao implantar ou configurar recursos de criação de regras de detecção com splunk spl em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao conduzir avaliações de segurança que exigem esta implementação

Pré-requisitos

• Splunk Enterprise Security (ES) implantado e configurado
• Acesso ao aplicativo de Pesquisa e Relatórios do Splunk com funções apropriadas
• Compreensão dos modelos de dados do Common Information Model (CIM)
• Familiaridade com as técnicas da estrutura MITRE ATT&CK
• Conhecimento das fontes de log e fluxos de dados da organização

Padrões Principais de Regras de Detecção SPL

1. Detecção Baseada em Limiar

Detecta eventos que excedem uma contagem definida dentro de uma janela de tempo.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4625
| stats count as failed_logins dc(TargetUserName) as unique_users by src_ip
| where failed_logins > 10 AND unique_users > 3
| eval severity="high"
| eval description="Ataque de força bruta detectado de ".src_ip." com ".failed_logins." falhas de login em ".unique_users." contas"

2. Detecção Baseada em Sequência (Falha de Login Seguida por Sucesso)

Correlaciona uma sequência de eventos indicando um ataque de força bruta bem-sucedido.

index=wineventlog sourcetype=WinEventLog:Security (EventCode=4625 OR EventCode=4624)
| eval login_status=case(EventCode=4625, "failure", EventCode=4624, "success")
| stats count(eval(login_status="failure")) as failures count(eval(login_status="success")) as successes latest(_time) as last_event by src_ip, TargetUserName
| where failures > 5 AND successes > 0
| eval description="Conta ".TargetUserName." comprometida via força bruta de ".src_ip
| eval urgency="critical"

3. Detecção de Anomalias com Comparação de Linha de Base

Compara a atividade atual com um período de linha de base para detectar picos.

index=proxy sourcetype=squid
| bin _time span=1h
| stats count as current_count by src_ip, _time
| join src_ip type=left [
    search index=proxy sourcetype=squid earliest=-7d@d latest=-1d@d
    | stats avg(count) as avg_count stdev(count) as stdev_count by src_ip
]
| eval threshold=avg_count + (3 * stdev_count)
| where current_count > threshold
| eval deviation=round((current_count - avg_count) / stdev_count, 2)
| eval description="Tráfego web anômalo de ".src_ip." - ".deviation." desvios padrão acima da linha de base"

4. Detecção de Movimento Lateral

Identifica potencial movimento lateral usando eventos de logon do Windows.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4624 Logon_Type=3
| where NOT match(TargetUserName, ".*\$$")
| stats dc(dest) as unique_hosts values(dest) as hosts by src_ip, TargetUserName
| where unique_hosts > 5
| eval severity=case(unique_hosts > 20, "critical", unique_hosts > 10, "high", true(), "medium")
| eval description=TargetUserName." acessou ".unique_hosts." hosts únicos de ".src_ip." via logon de rede"

5. Detecção de Exfiltração de Dados

Monitora transferências grandes de dados de saída.

index=firewall sourcetype=pan:traffic action=allowed direction=outbound
| stats sum(bytes_out) as total_bytes_out dc(dest_ip) as unique_destinations by src_ip, user
| eval total_mb=round(total_bytes_out/1048576, 2)
| where total_mb > 500 OR unique_destinations > 50
| lookup asset_lookup ip as src_ip OUTPUT asset_category, asset_owner
| eval severity=case(total_mb > 2000, "critical", total_mb > 1000, "high", true(), "medium")
| eval description=user." transferiu ".total_mb."MB para ".unique_destinations." destinos únicos"

6. Detecção de Execução Suspeita de PowerShell

Detecta comandos PowerShell codificados ou ofuscados.

index=wineventlog sourcetype=WinEventLog:Security EventCode=4104
| where match(ScriptBlockText, "(?i)(encodedcommand|invoke-expression|iex|downloadstring|frombase64string|net\.webclient|invoke-webrequest|bitstransfer|invoke-mimikatz|invoke-shellcode)")
| eval decoded_length=len(ScriptBlockText)
| stats count values(ScriptBlockText) as commands by Computer, UserName
| where count > 0
| eval severity="high"
| eval mitre_technique="T1059.001"
| eval description="Execução suspeita de PowerShell em ".Computer." por ".UserName

Construindo Pesquisas de Correlação no Splunk ES

Processo Passo a Passo

1. Defina o Caso de Uso: Mapeie para a técnica MITRE ATT&CK e defina qual comportamento detectar
2. Identifique Fontes de Dados: Determine quais índices e sourcetypes contêm eventos relevantes
3. Escreva a Pesquisa Base: Construa SPL que extrai eventos relevantes
4. Adicione Agregação: Use stats, eventstats ou streamstats para resumir
5. Aplique Limiares: Defina condições com a cláusula where que distinguem o normal do anômalo
6. Enriqueça o Contexto: Adicione lookups para informações de ativos, dados de identidade e inteligência de ameaças
7. Configure o Evento Notável: Defina campos de severidade, urgência e descrição
8. Agende e Teste: Execute contra dados históricos e valide a precisão da detecção

Modelo de Configuração de Pesquisa de Correlação

| tstats summariesonly=true count from datamodel=Authentication
    where Authentication.action=failure
    by Authentication.src, Authentication.user, _time span=5m
| rename "Authentication.*" as *
| stats count as total_failures dc(user) as unique_users values(user) as targeted_users by src
| where total_failures > 20 AND unique_users > 5
| lookup dnslookup clientip as src OUTPUT clienthost as src_dns
| lookup asset_lookup ip as src OUTPUT priority as asset_priority, category as asset_category
| eval urgency=case(asset_priority=="critical", "critical", asset_priority=="high", "high", true(), "medium")
| eval rule_name="Força Bruta Contra Múltiplas Contas"
| eval rule_description="Múltiplas falhas de autenticação de ".src." visando ".unique_users." contas únicas"
| eval mitre_attack="T1110.001 - Password Guessing"

Melhores Práticas de Enriquecimento

| lookup identity_lookup identity as user OUTPUT department, manager, risk_score as user_risk
| lookup asset_lookup ip as src_ip OUTPUT asset_name, asset_category, asset_priority, asset_owner
| lookup threatintel_lookup ip as src_ip OUTPUT threat_type, threat_confidence, threat_source
| eval context=case(
    isnotnull(threat_type), "Ameaça conhecida: ".threat_type,
    user_risk > 80, "Usuário de alto risco: pontuação de risco ".user_risk,
    asset_priority=="critical", "Ativo crítico: ".asset_name,
    true(), "Contexto padrão"
)

Otimização de Desempenho

Use Modelos de Dados com tstats

| tstats summariesonly=true count from datamodel=Network_Traffic
    where All_Traffic.action=allowed
    by All_Traffic.src_ip, All_Traffic.dest_ip, All_Traffic.dest_port, _time span=1h
| rename "All_Traffic.*" as *

Limite Intervalos de Tempo e Use Campos Indexados

index=wineventlog source="WinEventLog:Security" EventCode=4688
    earliest=-15m latest=now()
| where NOT match(New_Process_Name, "(?i)(svchost|csrss|lsass|services)")

Use Indexação de Resumo para Linhas de Base Históricas

| tstats count from datamodel=Authentication where Authentication.action=failure by Authentication.src, _time span=1h
| collect index=summary source="auth_failure_baseline" marker="report_name=auth_failure_hourly"

Testes e Validação

Teste Contra Padrões de Ataque Conhecidos

| makeresults count=1
| eval src_ip="10.0.0.50", failed_logins=25, unique_users=8, severity="high"
| eval description="Teste de detecção de força bruta"
| append [
    search index=wineventlog sourcetype=WinEventLog:Security EventCode=4625
    earliest=-24h latest=now()
    | stats count as failed_logins dc(TargetUserName) as unique_users by src_ip
    | where failed_logins > 10 AND unique_users > 3
    | eval severity="high"
]

Calcule Métricas de Detecção

index=notable
| search rule_name="Força Bruta*"
| stats count as total_alerts count(eval(status_label="Closed - True Positive")) as true_positives count(eval(status_label="Closed - False Positive")) as false_positives by rule_name
| eval precision=round(true_positives / (true_positives + false_positives) * 100, 2)
| eval fpr=round(false_positives / total_alerts * 100, 2)

Mapeamento MITRE ATT&CK

ID da Técnica	Nome da Técnica	Abordagem de Detecção SPL
T1110.001	Password Guessing	Limiar de EventCode 4625 por src_ip
T1059.001	PowerShell	Correspondência de padrões em EventCode 4104 ScriptBlockText
T1021.002	SMB/Windows Admin Shares	Tipo de Logon 3 com limiar dc(dest)
T1048	Exfiltration Over C2	Agregação de bytes_out em janela de tempo
T1053.005	Scheduled Task	EventCode 4698 com padrões de comando suspeitos
T1003.001	LSASS Memory	Acesso ao processo lsass.exe via Sysmon EventCode 10

Referências

• Splunk ES Correlation Searches Best Practices
• Writing Practical Splunk Detection Rules
• Configure Correlation Searches - Splunk Documentation
• SOC Prime - Correlation Events in Splunk