はじめに

SIGMAはログ分析のためのシグネチャーフォーマットです。ログからサイバー攻撃の形跡を見つけるための検索方法を特定のSIEMなどの環境に依存しない形式で記述できるものです。

この解説が「Software Design」の2024年11月号

に掲載されていました。(P158)

この中で紹介されているハンズオンをGo言語で試してみた時の記録です。

sigma-goパッケージ

Go言語でSIGMAを扱うパケージは２つ見つかりました。今回使ったのはsigma-go

です。

ハンズオン#1 Windows whoami検知

Windowsの環境で

>whoami /priv

というコマンドを実行したことを検知するハンズオンです。
Aurora Liteという商用EDRの無償版で試していますが、これをGO言語のsigma-goで検知してみました。

ログの準備

検知対象のログはWindowsの環境で簡単に作成できます。

sysmonのインストール

まず、プロセスの起動、停止をイベントログに記録するため、sysmonをWindowsにインストールします。

にダウンロード先やインストール方法が記載されいます。

whoamiを実行

sysmonをインストールした後、Powweshellなどで

のように実行します。

ログの確認と保存

whoamiを実行した後、イベントビューアーでログを確認します。

ログは、Applications and Services Logs/Microsoft/Windows/Sysmon/Operational にあります。（赤の矢印）
whoamiを検索すれば、ログが見つかるはずです。見つけたら「すべてのログを名前をつけて保存」を実行します。

sysmon.evtxなどです。これが、対象のログです。

SIGMAルール

ルールは、

のrulesのディレクトリからダウンロードできます。

rules/proc_creation_win_whoami_priv_discovery.yml

です。

このルールのままではsigma-goでエラーになったので少し変更しました。

title: Security Privileges Enumeration Via Whoami.EXE
id: 97a80ec7-0e2f-4d05-9ef4-65760e634f6b
status: test
description: Detects a whoami.exe executed with the /priv command line flag instructing the tool to show all current user privileges. This is often used after a privilege escalation attempt.
references:
    - https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/whoami
author: Florian Roth (Nextron Systems)
date: 2021-05-05
modified: 2023-02-28
tags:
    - attack.privilege-escalation
    - attack.discovery
    - attack.t1033
logsource:
    category: process_creation
    product: windows
detection:
    selection_img:
        Image|endswith: '\whoami.exe'
    selection_cli:
        CommandLine|contains:
            - ' /priv'
            - ' -priv'
    condition: all of selection_*
falsepositives:
    - Unknown
level: high

変更したのは

detection:
    selection_img:
-        - Image|endswith: '\whoami.exe'
-        - OriginalFileName: 'whoami.exe'
+        Image|endswith: '\whoami.exe'

です。

-で始まる配列の中にキーバリュー（マップ）を書くとsigma-goが認識できないためです。ロジックを工夫すれば、同じ条件で書き換えできます。OriginalFileNameというのが不要なので削除しました。

検知プログラム

package main

import (
	"context"
	"encoding/json"
	"fmt"
	"log"
	"os"

	"github.com/0xrawsec/golang-evtx/evtx"

	"github.com/bradleyjkemp/sigma-go"
	"github.com/bradleyjkemp/sigma-go/evaluator"
)

func main() {
	//  ルールを読み込む
	c, err := os.ReadFile("./rules/proc_creation_win_whoami_priv_discovery.yml")
	if err != nil {
		log.Fatalln(err)
	}
	r, err := sigma.ParseRule(c)
	if err != nil {
		log.Fatalln(err)
	}
	ev := evaluator.ForRule(r, evaluator.WithConfig(sigma.Config{
		FieldMappings: map[string]sigma.FieldMapping{
			"Image":             {TargetNames: []string{"$.Event.EventData.Image"}},
			"CommandLine":       {TargetNames: []string{"$.Event.EventData.CommandLine"}},
			"ParentProcessName": {TargetNames: []string{"$.Event.EventData.ParentProcessName"}},
			"NewProcessName":    {TargetNames: []string{"$.Event.EventData.NewProcessName"}},
		},
	}))
	evtx.SetDebug(true)
	// イベントログを読み込む
	ef, err := evtx.OpenDirty("./testdata/sysmon.evtx")
	if err != nil {
		log.Fatalln(err)
	}
	for e := range ef.FastEvents() {
		if e == nil {
			break
		}
		// sigma-goで扱いやすいデータ形式に変換
		var je interface{}
		err := json.Unmarshal(evtx.ToJSON(e), &je)
		if err != nil {
			log.Fatalln(err)
		}
		r, err := ev.Matches(context.Background(), je)
		if err != nil {
			log.Fatalln(err)
		}
		if r.Match {
			// 見つけたログを出力
			fmt.Printf("%+v: %s\n", r, string(evtx.ToJSON(e)))
		}
	}
}

evtxを読むためには、

のパッケージを使っています。

フィールド名を変換するために

	ev := evaluator.ForRule(r, evaluator.WithConfig(sigma.Config{
		FieldMappings: map[string]sigma.FieldMapping{
			"Image":             {TargetNames: []string{"$.Event.EventData.Image"}},
			"CommandLine":       {TargetNames: []string{"$.Event.EventData.CommandLine"}},
			"ParentProcessName": {TargetNames: []string{"$.Event.EventData.ParentProcessName"}},
			"NewProcessName":    {TargetNames: []string{"$.Event.EventData.NewProcessName"}},
		},
	}))

の部分でフィールドマッピングを設定しています。

Imageは、JSONPATJでEvent.EventData.Imageのところにあるという意味で、階層化された
データでも扱えます。

		// sigma-goで扱いやすいデータ形式に変換
		var je interface{}
		err := json.Unmarshal(evtx.ToJSON(e), &je)
		if err != nil {
			log.Fatalln(err)
		}
		r, err := ev.Matches(context.Background(), je)

の部分は、データ形式を変換する裏技です。もっと良い方法があるかもしれませんが、
単純に型変換するとエラーになったので、この方法にしています。

実行結果


$ go run main.go 
{Match:true SearchResults:map[selection_cli:true selection_img:true] ConditionResults:[true]}: {"Event":{"EventData":{"CommandLine":"\"C:\\WINDOWS\\system32\\whoami.exe\" /priv","Company":"Microsoft Corporation","CurrentDirectory":"C:\\Users\\ymi\\","Description":"whoami - displays logged on user information","FileVersion":"10.0.22621.1 (WinBuild.160101.0800)","Hashes":"SHA256=574BC2A2995FE2B1F732CCD39F2D99460ACE980AF29EFDF1EB0D3E888BE7D6F0","Image":"C:\\Windows\\System32\\whoami.exe","IntegrityLevel":"Medium","LogonGuid":"AC7A0DE1-15DD-670B-4D7D-BB0500000000","LogonId":"0x05bb7d4d","OriginalFileName":"whoami.exe","ParentCommandLine":"\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" ","ParentImage":"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe","ParentProcessGuid":"AC7A0DE1-76E1-6715-6349-000000003100","ParentProcessId":"2388","ParentUser":"YMIRYZ\\ymi","ProcessGuid":"AC7A0DE1-2EA0-672B-1C15-070000003100","ProcessId":"4516","Product":"Microsoft® Windows® Operating System","RuleName":"-","TerminalSessionId":"2","User":"YMIRYZ\\ymi","UtcTime":"2024-11-06 08:53:52.063"},"System":{"Channel":"Microsoft-Windows-Sysmon/Operational","Computer":"YMIRYZ","Correlation":{},"EventID":"1","EventRecordID":"1739","Execution":{"ProcessID":"15836","ThreadID":"17760"},"Keywords":"0x8000000000000000","Level":"4","Opcode":"0","Provider":{"Guid":"5770385F-C22A-43E0-BF4C-06F5698FFBD9","Name":"Microsoft-Windows-Sysmon"},"Security":{"UserID":"S-1-5-18"},"Task":"1","TimeCreated":{"SystemTime":"2024-11-06T08:53:52.0892215Z"},"Version":"5"}}}

のように検知できました。

ハンズオン#2 :攻撃ログの分析

記事ではWMIを悪用した攻撃をChainsawというツールで検知する方法を紹介していますが、Go言語のsigma-goで試してみました。

ログの準備

こちらは、Windows環境で実際に再現するのは難しいので、

からダウンロードできます。

evtx/sliver-security.evtx

です。

SIGMAルール


title: Suspicius Cmd Execution via WMI
description: Detects suspicious command execution via Windows Management Instrumentation(WMI)
logsource:
  category: presess_creation
  product: windows
detection:
  selection1:
    ParentProcessName|contains: 'WmiPrvSE.exe'
  selection2:
    NewProcessName|contains: 
      - 'rundll32.exe'
      - 'msbuild.exe'
      - 'powershell.exe'
      - 'cmd.exe'
      - 'mshta.exe'
  condition: selection1 and selection2
level: critical

このルールもsigma-goの制約（配列の下は文字列）に合わせるため書き換えています。

検知コード

検知コードは、ハンズオン#1とまったく同じで、読み込むファイル名だけ変更しました。

func main() {
	//  ルールを読み込む
-	c, err := os.ReadFile("./rules/proc_creation_win_whoami_priv_discovery.yml")
+	c, err := os.ReadFile("./rules/hanson2.yml")
	if err != nil {
		log.Fatalln(err)
	}
|
  evtx.SetDebug(true)
	// イベントログを読み込む
-	ef, err := evtx.OpenDirty("./testdata/sysmon.evtx")
+	ef, err := evtx.OpenDirty("./testdata/sliver-security.evtx")
	if err != nil {

実行結果

$ go run main.go h2
{Match:true SearchResults:map[selection1:true selection2:true] ConditionResults:[true]}: {"Event":{"EventData":{"CommandLine":"cmd.exe /Q /c cd \\ 1\u003e \\\\127.0.0.1\\ADMIN$\\__1684434503.6905713 2\u003e\u00261","MandatoryLabel":"S-1-16-12288","NewProcessId":"0x00002d80","NewProcessName":"C:\\Windows\\System32\\cmd.exe","ParentProcessName":"C:\\Windows\\System32\\wbem\\WmiPrvSE.exe","ProcessId":"0x00000e4c","SubjectDomainName":"GALACTICA","SubjectLogonId":"0x000003e4","SubjectUserName":"VALKYRIE$","SubjectUserSid":"S-1-5-20","TargetDomainName":"VALKYRIE","TargetLogonId":"0x03e2f5f3","TargetUserName":"fgaeta","TargetUserSid":"S-1-0-0","TokenElevationType":"%%1936"},"System":{"Channel":"Security","Computer":"VALKYRIE.galactica.cc","Correlation":{},"EventID":"4688","EventRecordID":"245081","Execution":{"ProcessID":"4","ThreadID":"5912"},"Keywords":"0x8020000000000000","Level":"0","Opcode":"0","Provider":{"Guid":"54849625-5478-4994-A5BA-3E3B0328C30D","Name":"Microsoft-Windows-Security-Auditing"},"Security":{},"Task":"13312","TimeCreated":{"SystemTime":"2023-05-18T18:28:24.1090439Z"},"Version":"2"}}}

検知できたようです。

デモ#1: ネットワークログ(zeek)の分析

zeekのログから外部ネットワークとの通信を検知するデモです。記事ではElastic Stackを使っていますが、Go言語のsigma-goで試してみました。

ログの準備

ログは、

からダウンロードできます。
https://github.com/brimdata/zed-sample-data/blob/main/zeek-json/conn.json.gz
のファイルです。

SIGMAルール

検知するためのルールは、

title: Public Accesible IP Addaree
status: test
description: Detects connections from external IPs
logsource:
  product: zeek
detection:
  selection:
    id.orig_h|cidr:
      - '10.0.0.0/8'
      - '172.16.0.0/12'
      - '192.168.0.0/16'
  condition: not selection
level: high

です。

このcidrというキーは、IPアドレスの範囲を指定するものです。
sigma-goのソースコードを読んで対応しているのを確認しました。
他のsigmaパッケージは対応していませんでした。

検知プログラム

package main

import (
	"bufio"
	"context"
	"encoding/json"
	"fmt"
	"log"
	"os"

	"github.com/bradleyjkemp/sigma-go"
	"github.com/bradleyjkemp/sigma-go/evaluator"
)

func main() {
	c, err := os.ReadFile("./rules/zeek.yml")
	if err != nil {
		log.Fatalln(err)
	}
	r, err := sigma.ParseRule(c)
	if err != nil {
		log.Fatalln(err)
	}
	e := evaluator.ForRule(r)
	fp, err := os.Open("./testdata/conn.json")
	if err != nil {
		log.Fatalln(err)
	}
	defer fp.Close()
	scanner := bufio.NewScanner(fp)
	for scanner.Scan() {
		l := scanner.Text()
		var i map[string]interface{}
		err := json.Unmarshal([]byte(l), &i)
		if err != nil {
			log.Fatalln(err)
		}
		ret, err := e.Matches(context.Background(), i)
		if err != nil {
			log.Fatalln(err)
		}
		if ret.Match {
			log.Printf("ret=%v l=%s", ret, l)
		}
	}
}

evtxではなくJSONのログなので、１行ずつ読み込で処理しています。

実行結果

$ go run main.go
2024/11/08 06:05:01 ret={true map[selection:false] [true]} l={"_path":"conn","_write_ts":"2018-03-24T17:18:11.352693Z","ts":"2018-03-24T17:17:02.350685Z","uid":"C02MQ23wnJMnNy7p3i","id.orig_h":"134.71.1.17","id.orig_p":3,"id.resp_h":"10.47.22.25","id.resp_p":1,"proto":"icmp","duration":8.9999520778656,"orig_bytes":112,"resp_bytes":0,"conn_state":"OTH","local_orig":false,"local_resp":true,"missed_bytes":0,"orig_pkts":4,"orig_ip_bytes":224,"resp_pkts":0,"resp_ip_bytes":0}

検知できました。

余談

sigma-goを使っていろいろ検知する方法を習得したので、このパッケージを使って

や

のTWSNMPシリーズにSIGMAによるログ検知機能をつけようと思っています。