Accueil
Bibliothèque de règles de corrélation

Bibliothèque de règles de corrélation

Ce référentiel contient une série complète de règles visant à renforcer la sécurité de l’organisation en détectant divers types d’activité suspecte et de menaces. Chaque règle est classée pour faciliter la navigation et une approche structurée de la détection des menaces. Les règles de cette bibliothèque permettent de beaucoup renforcer la capacité à détecter et gérer les incidents de sécurité, assurant une protection plus fiable contre une vaste gamme de cybermenaces.

Outil d’attaquant

Ces règles détectent la présence et l’utilisation d’outils d’attaquant connus.

Processus suspect

Ces règles identifient des processus suspects pouvant signaler une activité malveillante.

Spoolsv générant Rundll32 Trop de tentatives de désactivation de services Utilisation excessive de TaskkillProduit Office générant MSHTA Windows masquant Explorer comme processus enfant Wsmprovhost LOLBAS exécution de processus généré Commande de sortie de veille RyukAjout ou ou définition d’exclusion Windows Defender Analyse de sécurité Powershell désactivée

Processus parent suspect

Ces règles détectent des relations de processus parent-enfant suspectes pour identifier des attaques.

Processus enfant suspect

Ces règles identifient des processus enfants suspects générés par certains processus parents pour détecter des maliciels.

SearchProtocolHost générant un enfant suspecttaskhost générant un enfant suspectcsrss générant un enfant suspectautochk générant un enfant suspectsmss smss générant un enfant suspectwermgr générant un enfant suspectconhost générant un enfant suspectExcel générant un hôte de script WindowsProduit Office un hôte de script WindowsProduit Office générant un hôte de script Windows

Attaque d’exploitation des ressources locales

Ces règles détectent l’utilisation inhabituelle d’outils système comme PowerShell et WMI pour identifier des attaques dissimulées.

Modification de groupe de comptes privilégiés localVol d’identifiants via Procdump ou comsvcsLigne de commande PowerShell codée suspecte Exécution suspecte de CertOC Création de fichier suspecte avec Colorcpl Exécution suspecte de ConfigSecurityPolicy Commande Certreq suspecte pour téléchargerCopie Copie VSS supprimée avec VSSADMIN ou wmic Contournement de contrôle UAC via CMSTP Contournement des contrôles de sécurité Commande Certutil suspecte