# Threat Hunting. Анализ действий злоумышленников

1. **Написать детект по событиям (в синтаксисе SIGMA) на скачивание файла с помощью certutil.exe**
https://lolbas-project.github.io/lolbas/Binaries/Certutil/
Лучше предложить несколько вариантов обнаружения этой активности.
Для выполнение этого задания неободимо настроить sysmon. Конфиг можно использовать свой, либо https://github.com/SwiftOnSecurity/sysmon-config

- устанавливаем sysmon

- скачаем конфигурацию для слежения за событиями нарушения безопасности

- применяем эту конфигурацию

- скачаем urlcache репозитория sigma

- настроим просмотр событий по sysmon

- посмотрим sysmon

- клонируем репозитарий sigma

- пишем правило на детек certutil.exe

- запускаем конвертор для правила

- проверяем в powershell отработку правла и указываем источник sysmon

2. **Написать сетевой детект (в синтаксисе suricata) на активность из 1 задания.**

- устанавливаем dalton

- делаем дамп трафика в Wireshark и добавляем в dalton

- пишем правило и добавляем в dalton
> здесь пока не совсем разобрался как правильно настроить именно на certutil.exe, поэтому написал на конкерный IP-адрес
alert tcp any any -> 140.82.121.4 any (msg: "Connecting to an unknown server"; flow: to_server; sid:10001000; rev:1; classtype:bad-unknown;)

- проверяем отработку в dalton

3. **Написать программу, выдающую строку по заданным произвольному началу md5-хеша и длине этой строки**

- продолжаю изучать suricata.readthedocs