20、Wazuh平台技术指南：规则创建与关键术语解析

Wazuh平台技术指南：规则创建与关键术语解析

1. 自定义Sysmon规则创建

在Wazuh中，我们可以创建自定义的Sysmon规则，以满足不同的安全监控需求。以下是两个具体规则的示例及解析。

1.1 规则示例1

<rule id="200412" level="3">
  <if_sid>61647</if_sid>
  <field name="win.eventdata.RuleName">^technique_id=T1021.002,technique_name=SMB/Windows Admin Shares$</field>
  <mitre>
    <id>T1021</id>
  </mitre>
  <options>no_full_log</options>
  <group>sysmon_event_18,</group>
</rule>

• 触发条件解析 ：
  • <if_sid>61647</if_sid> ：该标签作为触发规则的必要条件。只有当父规则61647匹配时，规则200412才会被触发。规则ID 61647已在Wazuh管理器的 0595-win-sysmon_rules.xml 文件中创建。