Improve "Windows AD Privileged Object Access Activity": rename to Privileged Group Enumeration and filter on member/memberOf Properties

Abierto Apto para principiantes
  • ¿Algo no está bien?
#4,400 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
72/100
Tipo de issue
Nueva funcionalidad
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
python
Área
security

Línea de trabajo

Encuentra la detección llamada Windows AD Privileged Object Access Activity y su macro _filter en los archivos de contenido de seguridad de Splunk. Lee primero la búsqueda de la detección y las pruebas o validaciones cercanas para el contenido de detecciones. Cámbiale el nombre a Windows AD Privileged Group Enumeration y filtra Properties por los atributos de pertenencia indicados; estará terminado cuando el nombre, la descripción, la macro y la búsqueda coincidan y la detección actualizada supere la validación del repositorio.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

enhancement

Summary

The detection Windows AD Privileged Object Access Activity has two issues: its name does not match its scope, and its logic is too noisy for production use.

Problem 1: Misleading name

Every value in the ObjectName IN (...) list is a privileged group (Domain Admins, Enterprise Admins, Backup Operators, Schema Admins, etc.). The rule does not cover other privileged objects (AdminSDHolder, krbtgt, domain root, GPOs), so "Privileged Object" overstates its coverage.

Suggestion: Rename to Windows AD Privileged Group Enumeration and update the name, description, and _filter macro accordingly.

Problem 2: Missing Properties filter

The search matches any 4662 event on a privileged group, regardless of which attribute was accessed. Event 4662 is generated by many benign operations (security descriptor reads, backup agents, Exchange, management tooling). The real indicator of group enumeration is access to the membership attribute in the Properties field. Without it, the output is very noisy.

Proposed change

Add a filter on the membership attribute GUIDs:

  • memberOf: bf967991-0de6-11d0-8559-00c04fd8d5cd
  • member: bf9679c0-0de6-11d0-8559-00c04fd8d5cd
`wineventlog_security` EventCode=4662 ObjectName IN ( "CN=Account Operators,*", ... , "CN=Organization Management,*")
  Properties IN ("*bf967991-0de6-11d0-8559-00c04fd8d5cd*", "*bf9679c0-0de6-11d0-8559-00c04fd8d5cd*", "*member*")
| rex field=ObjectName "CN\=(?<object_name>[^,]+)"
| stats values(Computer) as dest, values(object_name) as object_name, dc(ObjectName) as object_count, min(_time) as firstTime, max(_time) as lastTime, count BY SubjectUserName
| rename SubjectUserName as user
| `security_content_ctime(firstTime)`
| `security_content_ctime(lastTime)`
| `windows_ad_privileged_group_enumeration_filter`
Lenguaje dominante
Python
Estrellas
1.7k
Forks
505
Merge medio
3 d 17 h
PR fusionados (30 d)
39

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de splunk/security_content

Todos los issues de splunk/security_content

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.