Detección de Amenazas de Syscall en Linux en Splunk con Uncoder AI

Cómo Funciona

La lógica de detección aquí se construye en torno a la supervisión uso del mknod syscall, que rara vez se usa en flujos de trabajo legítimos, pero puede ser explotado por atacantes para:

• Crear dispositivos de bloque o caracteres falsos
  
• Interactuar con interfaces del kernel
  
• Eludir controles de sistemas de archivos o establecer puertas traseras
  
  

Panel Izquierdo – Regla Sigma:

• Logsource: auditd en Linux
  
• Se centra en syscall: mknod
  
• Etiquetado con la técnica de MITRE T1543.003 (Crear o Modificar Proceso del Sistema: Elementos de Inicio de Linux y Mac)
  

Los falsos positivos incluyen la inicialización de dispositivos por herramientas como udevadm or MAKEDEV

Explorar Uncoder AI

Panel Derecho – Traducción SPL de Splunk:

Uncoder AI genera el SPL correspondiente:

index=linux (type="SYSCALL" AND syscall="mknod")

Esta consulta es mínima pero precisa: se dirige a eventos de auditoría de syscall con coincidencia exacta de campos para mknod, listo para ser implementado en un entorno Splunk con la ingesta de registros de auditoría de Linux.

Por Qué es Innovador

La traducción de telemetría multiplataforma de Sigma a Splunk SPL no es trivial debido a:

• Mapeo de campos entre claves abstractas de Sigma y campos de datos indexados de Splunk
  
• Diferencias de sintaxis (SPL’s AND, comillas, coincidencia de campo=valor)
  
• Comprensión de la telemetría objetivo (logs de tipo SYSCALL → auditd)
  

Uncoder AI maneja estos desafíos automáticamente mediante:

• Mapeo de nombres de campos y valores a las convenciones de Splunk
  
• Permanecer los semánticos de detección de la lógica Sigma original
  
• Garantizar la compatibilidad con esquemas Splunk predeterminados o personalizados

Valor Operacional

Para equipos de detección y centros de operaciones de seguridad:

• Despliegue instantáneo de contenido de amenazas Sigma en Splunk SIEM
  
• Mejora de la cobertura de telemetría de Linux para comportamientos de baja frecuencia y alto riesgo
  
• Detección mejorada para técnicas de persistencia y creación de canales ocultos
  
• Reducción del esfuerzo de ingeniería, permitiendo a los equipos centrarse en las investigaciones
  

Uncoder AI conecta contenido abierto de amenazas y plataformas propietarias como Splunk, facilitando la implementación de detecciones sofisticadas de Linux como mknod monitoreo en tiempo real.

Explorar Uncoder AI