Deteksi Berbasis Event ID dan Sysmon

Repository ini menyimpan bahan deteksi dalam dua lapis. Lapis pertama adalah tabel Detection yang memetakan nama serangan Active Directory ke Windows event ID README.md:557-574¹. Lapis kedua adalah Sysmon, yang dideskripsikan sebagai Windows system service dan device driver yang tetap aktif setelah reboot untuk mencatat aktivitas sistem ke Windows event log README.md:458². Halaman ini membaca keduanya sebagai satu alur telemetri, dari event yang terbentuk di host sampai alert yang muncul di SIEM. Kontrol yang mencegah serangan itu sendiri bukan cakupan halaman ini; lihat Defense & Detection: Hardening dan Patch.

Tabel Detection sebagai indeks, bukan rule

Tabel hanya memiliki dua kolom, Attack dan Event ID README.md:557-574¹. Karena itu isinya adalah indeks untuk menulis rule, bukan rule siap pakai: tidak ada channel, filter, maupun ambang yang dicantumkan. Satu sel dapat memuat beberapa event ID yang dipisahkan <br>, misalnya baris Lateral Movement yang mencantumkan 4688, 4689, 4624, dan 4625 sekaligus README.md:571³. Baris PowerShell mencantumkan 4103 dua kali, sekali sebagai Script Block Logging dan sekali sebagai Module Logging, ditambah 400, 403, dan 600 dari Engine serta Provider Lifecycle README.md:565⁴. Baris DNSAdmin menaruh event 770, 541, dan 150 pada tabel yang sama tanpa membedakan asal log-nya dari event Security README.md:572⁵.

Isi lengkap tabel, diurutkan menurut nomor event:

⚠️ Label pada tabel tidak sepenuhnya konsisten, dan itu memengaruhi penamaan rule. Repository menulis 4768 sebagai "Kerberos TGS Request" sekaligus 4769 sebagai "A Kerberos ticket was requested" README.md:562-572⁶. Event 4689 pun ditulis "A new process has exited" pada satu baris dan "A process has exited" pada baris lain README.md:567-571⁷. Verifikasi label terhadap sumber resmi sebelum nomor itu dipakai sebagai nama rule atau nama alert.

Event ID yang dipakai bersama

Beban penyelidikan tidak merata. Dari 15 baris serangan, event 4624 muncul pada lima baris dan 4672 pada empat baris README.md:562-571⁸. Artinya dua nomor itu saja tidak cukup untuk menamai teknik yang sedang berjalan. Pemisahan teknik baru mungkin ketika event tiket Kerberos (4768, 4769) dan event objek direktori (4662, 4742, 4929, 5137, 5141) dijadikan sumbu korelasi.

graph TD
  Kekeo["Kekeo"]
  Silver["Silver Ticket"]
  Golden["Golden Ticket"]
  Pykek["PYKEK MS14-068"]
  Lateral["Lateral Movement"]
  Spray["Password Spraying"]
  Skeleton["Skeleton Keys"]

  E4624["4624 Account Logon"]
  E4672["4672 Admin Logon"]
  E4634["4634 Account Logoff"]
  E4625["4625 An account failed to log on"]
  E4688["4688 A new process has been created"]
  E4689["4689 A process has exited"]
  E4768["4768 Kerberos TGS Request"]

  Kekeo --> E4624
  Kekeo --> E4672
  Kekeo --> E4768
  Silver --> E4624
  Silver --> E4634
  Silver --> E4672
  Golden --> E4624
  Golden --> E4672
  Pykek --> E4624
  Pykek --> E4672
  Pykek --> E4768
  Lateral --> E4624
  Lateral --> E4625
  Lateral --> E4688
  Lateral --> E4689
  Spray --> E4625
  Skeleton --> E4688
  Skeleton --> E4689

  style E4624 fill:#f59e0b,color:#000
  style E4672 fill:#f59e0b,color:#000
  style E4625 fill:#8b5cf6,color:#fff
  style E4688 fill:#8b5cf6,color:#fff
  style E4689 fill:#8b5cf6,color:#fff
  style E4768 fill:#2d7d46,color:#fff
  style E4634 fill:#2d7d46,color:#fff
%% fig: Event ID yang dipakai bersama antar teknik
%% desc: Beberapa teknik berbagi event ID yang sama; warna amber menandai event paling ramai, hijau menandai event khusus tiket Kerberos, ungu menandai event proses.

Warna pada diagram menandai kepadatan pemakaian. Amber untuk 4624 dan 4672 yang dipakai empat baris atau lebih. Hijau untuk event yang menunjuk langsung ke manipulasi tiket Kerberos. Ungu untuk event proses yang baru bermakna setelah dikorelasikan dengan induk prosesnya.

Sysmon sebagai sumber telemetri host

Sysmon berada di jalur yang berbeda dari tabel Detection. Tabel itu berbasis event ID yang sudah bernomor baku, sedangkan Sysmon menambah detail aktivitas host dan menulisnya ke Windows event log yang sama README.md:458². Karena itu Sysmon dipakai sebagai pelengkap, bukan pengganti, keluarga event Security.

Konfigurasi menentukan kualitas telemetri. Repository menyediakan tiga titik mulai:

Ketiganya berasal dari bagian Sysmon Configuration README.md:473-476⁹. Pilih satu sebagai dasar, lalu sesuaikan dengan volume log yang mampu ditampung SIEM.

⚠️ Sysmon dapat ditekan. Bagian Sysmon Evasion mendaftar metode evasion terformalisasi terhadap produk keamanan, sysmon-config-bypass-finder, dan Shhmon yang membungkam Sysmon lewat driver unload README.md:264-267¹⁰. Pasang konfigurasi dengan asumsi ia akan diuji, bukan dengan asumsi ia akan bertahan.

Alur telemetri dari host ke SIEM

Bagian Logging menetapkan prasyarat agar alur ini berjalan. Enhanced auditing dinyalakan, kebijakan subcategory dipaksa menimpa kebijakan kategori, PowerShell module logging diaktifkan dan log-nya diteruskan ke central log server melalui WEF atau metode lain, CMD process logging diaktifkan, lalu SIEM memusatkan data log sebanyak mungkin dan sistem User Behavioural Analysis melengkapinya README.md:529-535¹¹. Dari daftar itu terlihat urutan yang tidak bisa dibalik: event harus terbentuk dulu di host, baru bisa diteruskan, baru bisa diolah.

sequenceDiagram
  participant H as Host Security log
  participant P as Host PowerShell log
  participant S as Host Sysmon log
  participant F as Central log server WEF
  participant I as SIEM
  participant A as Analyst

  H->>F: 4624, 4625, 4662, 4672, 4688
  P->>F: 4103 Script Block dan Module Logging
  S->>F: aktivitas host dari konfigurasi Sysmon
  Note over F: audit policy subcategory di-override sebelum event terbentuk
  F->>I: forward log ke central log server
  I->>A: alert dari event ID dan rule Sigma
  A->>I: hunt ulang lewat LogonTracer dan SysmonSearch
%% fig: Alur telemetri dari host ke SIEM
%% desc: Event Security, PowerShell, dan Sysmon terbentuk di host, diteruskan ke central log server, diolah SIEM, lalu ditindaklanjuti analyst.

Dua rujukan yang menyertai bagian ini adalah Event Forwarding Guidance dari NSA dan Windows Event Forwarding Guidance dari Palantir README.md:607¹² README.md:632-633¹³. Keduanya membahas mekanisme penerusan, bukan isi rule, sehingga melengkapi tabel Detection yang hanya menyebut nomor event.

Perangkat untuk membaca event

Nomor event baru berguna bila ada alat yang memvisualkan dan mengorelasikannya. Repository mendaftar perangkat berikut pada bagian Tools & Scripts README.md:455-464¹⁴.

Untuk latihan membaca event, repository juga merujuk materi "How to Go from Responding to Hunting with Sysinternals Sysmon" README.md:632-633¹³.

Jejak yang dihasilkan tiap teknik dibahas lebih rinci di halaman tekniknya. Event 4662 dan perilaku replikasi direktori dibahas di Credential Dumping. Event 4769 dan penyalahgunaan tiket dibahas di Kerberos Delegation dan Penyalahgunaan Tiket. Event 4688 dan 4689 yang menandai perpindahan antar host dibahas di Lateral Movement.