Home
Correlation Rule Library

Correlation Rule Library

Repositori ini berisi kumpulan rule (aturan) lengkap yang dirancang untuk meningkatkan keamanan organisasi Anda dengan mendeteksi berbagai jenis aktivitas mencurigakan dan potensi ancaman. Setiap aturan dikategorikan agar mudah dinavigasi dan mendukung pendekatan yang terstruktur dalam threat detection (deteksi ancaman). Dengan memanfaatkan berbagai aturan di library ini, Anda dapat secara signifikan meningkatkan kemampuan mendeteksi dan merespons insiden keamanan, serta membangun pertahanan yang lebih kuat terhadap beragam ancaman siber.

Suspicious Process

Aturan ini mengidentifikasi proses mencurigakan yang mengindikasikan adanya aktivitas berbahaya.

Spoolsv Spawning Rundll32 Excessive Attempt To Disable Services Excessive Usage Of Taskkill Office Product Spawning MSHTA Windows Masquerading Explorer As Child Process Wsmprovhost LOLBAS Execution Process Spawn Ryuk Wake on LAN Command Add or Set Windows Defender Exclusion Powershell Disable Security Monitoring

Suspicious Parent Process

Aturan ini mendeteksi hubungan parent-child process mencurigakan untuk mengidentifikasi potensi serangan.

Suspicious Child Process

Aturan ini mengidentifikasi child process mencurigakan yang muncul dari parent process tertentu untuk mendeteksi potensi malware.

SearchProtocolHost Spawning Suspicious Child taskhost Spawning Suspicious Child csrss Spawning Suspicious Child autochk Spawning Suspicious Child smss Spawning Suspicious Child wermgr Spawning Suspicious Child conhost spawning suspicious Child Excel Spawning Windows Script Host Office Product Spawning Windows Script Host

Living Off The Land Attack

Aturan ini mendeteksi penggunaan tool sistem yang tidak biasa seperti PowerShell dan WMI untuk mengidentifikasi serangan tersembunyi.

Local privileged account group modification Credential theft using Procdump or comsvcs Suspicious Encoded PowerShell Command Line Suspicious execution of CertOC Suspicious file creation with Colorcpl Suspicious execution of ConfigSecurityPolicy Suspicious Certreq command to Download or Upload Volume Shadow Copy deleted using VSSADMIN or wmic Bypass UAC via CMSTP Bypassing Security controls Suspicious Certutil Command