Improve "Windows AD Privileged Object Access Activity": rename to Privileged Group Enumeration and filter on member/memberOf Properties

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#4,400 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
72/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
security

Hướng nghiên cứu

Tìm detection có tên Windows AD Privileged Object Access Activity và macro _filter của nó trong các tệp nội dung bảo mật Splunk. Trước tiên, đọc truy vấn tìm kiếm của detection và các bài kiểm thử hoặc bước xác thực gần đó dành cho nội dung detection. Đổi tên thành Windows AD Privileged Group Enumeration và lọc Properties theo các thuộc tính thành viên được liệt kê; hoàn tất khi tên, mô tả, macro và truy vấn tìm kiếm thống nhất, đồng thời detection đã cập nhật vượt qua bước xác thực của repository.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

enhancement

Summary

The detection Windows AD Privileged Object Access Activity has two issues: its name does not match its scope, and its logic is too noisy for production use.

Problem 1: Misleading name

Every value in the ObjectName IN (...) list is a privileged group (Domain Admins, Enterprise Admins, Backup Operators, Schema Admins, etc.). The rule does not cover other privileged objects (AdminSDHolder, krbtgt, domain root, GPOs), so "Privileged Object" overstates its coverage.

Suggestion: Rename to Windows AD Privileged Group Enumeration and update the name, description, and _filter macro accordingly.

Problem 2: Missing Properties filter

The search matches any 4662 event on a privileged group, regardless of which attribute was accessed. Event 4662 is generated by many benign operations (security descriptor reads, backup agents, Exchange, management tooling). The real indicator of group enumeration is access to the membership attribute in the Properties field. Without it, the output is very noisy.

Proposed change

Add a filter on the membership attribute GUIDs:

  • memberOf: bf967991-0de6-11d0-8559-00c04fd8d5cd
  • member: bf9679c0-0de6-11d0-8559-00c04fd8d5cd
`wineventlog_security` EventCode=4662 ObjectName IN ( "CN=Account Operators,*", ... , "CN=Organization Management,*")
  Properties IN ("*bf967991-0de6-11d0-8559-00c04fd8d5cd*", "*bf9679c0-0de6-11d0-8559-00c04fd8d5cd*", "*member*")
| rex field=ObjectName "CN\=(?<object_name>[^,]+)"
| stats values(Computer) as dest, values(object_name) as object_name, dc(ObjectName) as object_count, min(_time) as firstTime, max(_time) as lastTime, count BY SubjectUserName
| rename SubjectUserName as user
| `security_content_ctime(firstTime)`
| `security_content_ctime(lastTime)`
| `windows_ad_privileged_group_enumeration_filter`
Ngôn ngữ chính
Python
Star
1.7k
Fork
505
Merge trung bình
3 ngày 17 giờ
Pull request đã merge (30 ngày)
39

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của splunk/security_content

Tất cả issue của splunk/security_content

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.