Detection Engineering

Detection-as-code & cakupan ATT&CK · Operasional normal
LIVE
08:03:0010 Nov · WIB · SIM
Aturan aktif
19
0 nonaktif
Teknik tercakup
18
ATT&CK, ICS, DISARM
Hit pada sesi
4
19 aturan dievaluasi tiap tick
Domain
2
Siber + kognitif
Pemetaan taktik

Cakupan Deteksi

13 sel taktik
Credential Access
3
ATT&CK · Password Guessing, LSASS Memory
Initial Access
2
ATT&CK · Valid Accounts, Spearphishing Attachment
Command and Control
2
ATT&CK · Web Protocols, DNS
Impact
2
ATT&CK · Inhibit System Recovery, Data Encrypted for Impact
Impair Process Control
2
ATT&CK-ICS · Unauthorized Command Message, Modify Parameter
Lateral Movement
1
ATT&CK · SMB/Windows Admin Shares
Exfiltration
1
ATT&CK · Exfiltration Over C2 Channel
Initial Access
1
ATT&CK-ICS · Valid Accounts
Reconnaissance
1
ATT&CK · Active Scanning
Persistence
1
ATT&CK · Web Shell
Amplify
1
DISARM · Coordinated Narrative Amplification
Defense Evasion
1
ATT&CK · Disable or Modify Tools
Inhibit Response Function
1
ATT&CK-ICS · Alarm Suppression
Sel kosong menandakan taktik belum tercakup.Diperbarui otomatis saat aturan diubah.
Detection-as-code

Pustaka aturan

HS-001TinggiAKTIF
Brute force kredensial berulang
Kegagalan login berulang pada satu akun dalam jendela singkat, indikasi password guessing.
action eq login_failed
threshold: 5 / 30s · group user
ATT&CK · Credential Access · T1110.001identity1 hit
HS-002TinggiAKTIF
Login sukses berisiko tinggi
Login berhasil dengan skor risiko tinggi: geo tidak wajar, perangkat baru, atau ASN hosting.
action eq login_success
fields.riskScore gte 70
ATT&CK · Initial Access · T1078identity1 hit
HS-003TinggiAKTIF
Beaconing C2 periodik
Pola koneksi keluar berulang ke tujuan yang sama dengan interval periodik.
action in http_request|dns_query
fields.beacon eq true
threshold: 4 / 40s · group dstIp
ATT&CK · Command and Control · T1071.001proxydns0 hit
HS-004KritisAKTIF
Penghapusan shadow copy
Upaya menghapus volume shadow copy, pola persiapan ransomware.
action eq process_start
fields.commandLine contains vssadmin
fields.commandLine contains delete
ATT&CK · Impact · T1490edr0 hit
HS-005KritisAKTIF
Enkripsi massal / canary file
Perubahan nama berkas canary secara massal menandakan enkripsi ransomware.
action eq file_rename
fields.canary eq true
threshold: 3 / 20s · group assetId
ATT&CK · Impact · T1486edr0 hit
HS-006TinggiAKTIF
Pergerakan lateral via admin share
Koneksi SMB ke admin share dari satu sumber secara berulang ke banyak host.
action eq smb_connect
fields.share contains ADMIN$
threshold: 3 / 45s · group srcIp
ATT&CK · Lateral Movement · T1021.002netflow0 hit
HS-007KritisAKTIF
Akses memori LSASS
Proses membaca memori lsass.exe dengan access mask credential dumping.
action eq process_access
fields.targetProcess eq lsass.exe
fields.accessMask contains 0x1010
ATT&CK · Credential Access · T1003.001edr0 hit
HS-008KritisAKTIF
Eksfiltrasi volume besar
POST keluar dengan volume data besar ke tujuan tak dikenal.
action eq http_post
fields.bytes gte 50000000
ATT&CK · Exfiltration · T1041proxy0 hit
HS-009KritisAKTIF
Perintah Modbus tidak sah
Write ke holding register PLC tanpa otorisasi dari workstation terdaftar.
action eq modbus_write
fields.functionCode eq 6
fields.authorized eq false
ATT&CK-ICS · Impair Process Control · T0855ot0 hit
HS-010KritisAKTIF
Setpoint di luar batas aman
Perubahan setpoint melebihi deviasi 15% dari nilai operasi normal.
action eq setpoint_change
fields.deviationPct gte 15
ATT&CK-ICS · Impair Process Control · T0836ot0 hit
HS-011TinggiAKTIF
Login HMI di luar shift
Login ke HMI pada jam di luar jadwal operator, dari host non-operator.
action eq hmi_login
fields.outsideShift eq true
ATT&CK-ICS · Initial Access · T0859ot0 hit
HS-012TinggiAKTIF
Email spearphishing dengan lampiran aktif
Email lolos gateway dengan lampiran makro/ISO/LNK dan verdict malicious.
action eq email_delivered
fields.verdict eq malicious
ATT&CK · Initial Access · T1566.001email0 hit
HS-013SedangAKTIF
Pemindaian port dari internet
Banyak port dipindai dari satu IP sumber dalam waktu singkat.
action eq port_scan
fields.portsScanned gte 40
threshold: 3 / 30s · group srcIp
ATT&CK · Reconnaissance · T1595firewall1 hit
HS-014KritisAKTIF
Webshell pada server publik
Berkas .aspx dibuat oleh worker process web server.
action eq file_create
fields.filePath endsWith .aspx
fields.parent eq w3wp.exe
ATT&CK · Persistence · T1505.003edr0 hit
HS-015TinggiAKTIF
Amplifikasi narasi terkoordinasi
Banyak akun berbot-score tinggi memposting hashtag yang sama dalam jendela singkat.
action eq post
fields.botScore gte 0.8
threshold: 8 / 30s · group fields.hashtag
DISARM · Amplify social0 hit
HS-016SedangAKTIF
MFA fatigue / push berulang
Banyak push MFA ditolak dalam jendela singkat, indikasi pressure campaign.
action eq mfa_push
fields.approved eq false
threshold: 4 / 45s · group user
ATT&CK · Credential Access · T1621identity1 hit
HS-017TinggiAKTIF
DNS tunneling
Query DNS dengan panjang nama tidak wajar secara berulang.
action eq dns_query
fields.qnameLength gte 60
threshold: 5 / 30s · group assetId
ATT&CK · Command and Control · T1071.004dns0 hit
HS-019TinggiAKTIF
Proteksi endpoint dinonaktifkan
Upaya menonaktifkan realtime protection atau fitur keamanan endpoint.
action eq process_start
fields.commandLine contains DisableRealtimeMonitoring
ATT&CK · Defense Evasion · T1562.001edr0 hit
HS-018KritisAKTIF
Penonaktifan alarm proses
Alarm/safety interlock dinonaktifkan pada kontroler OT.
action eq alarm_suppress
ATT&CK-ICS · Inhibit Response Function · T0878ot0 hit