用途
本技能面向安全运营中心（SOC）环境，讲解如何使用 Splunk 搜索处理语言（SPL）构建检测规则。Splunk SPL 是 Splunk Enterprise Security 中用于构建关联搜索的主要查询语言，用于检测可疑事件和模式。精心编写的检测规则可以聚合、关联并富化安全事件，为 SOC 分析师生成可操作的重要事件。资料指出，企业 SIEM 平均仅覆盖 21% 的 MITRE ATT&CK 技术，因此熟练编写 SPL 规则对于弥补检测缺口至关重要。
主要能力
技能提供了多种核心 SPL 检测规则模式：
-
基于阈值的检测：检测在时间窗口内超过定义计数的事件，例如通过 EventCode 4625 统计失败登录次数和唯一用户数来识别暴力破解。
-
基于序列的检测：关联事件序列，例如失败登录后跟随成功登录，用于识别成功的暴力破解攻击。
-
基于基线对比的异常检测：将当前活动与基线周期比较以检测峰值，例如通过代理日志统计每小时请求数并与过去 7 天平均值和标准差对比。
-
横向移动检测：使用 Windows 登录事件（EventCode 4624，Logon_Type=3）识别潜在的横向移动，统计源 IP 和用户访问的唯一主机数。
-
数据外泄检测：监控大型出站数据传输，例如通过防火墙日志统计出站字节数和唯一目标数。
-
PowerShell 可疑执行检测：检测编码或混淆的 PowerShell 命令，通过 EventCode 4104 的 ScriptBlockText 进行模式匹配。
使用方式
在 Splunk ES 中构建关联搜索的步骤包括：定义用例并映射到 MITRE ATT&CK 技术；识别包含相关事件的索引和 sourcetype；编写基础搜索；添加聚合（stats、eventstats 或 streamstats）；应用阈值条件；通过查找表富化上下文（资产信息、身份数据、威胁情报）；配置重要事件的严重性、紧急性和描述字段；针对历史数据运行并验证检测准确性。
技能还提供了关联搜索配置模板，使用 tstats 从数据模型查询，结合 dnslookup、asset_lookup 等查找表进行富化，并设置 urgency、rule_name、rule_description 和 mitre_attack 字段。
适用场景
适用于在环境中部署或配置 Splunk SPL 检测规则、建立符合合规要求的安全控制、构建或改进该领域的安全架构，以及执行需要此实现的安全评估。
前置条件
需要已部署并配置 Splunk Enterprise Security（ES）；具有适当角色访问 Splunk Search & Reporting 应用；理解通用信息模型（CIM）数据模型；熟悉 MITRE ATT&CK 框架技术；了解组织的日志源和数据流。
性能优化
技能建议使用数据模型配合 tstats 查询；限制时间范围并使用索引字段；使用摘要索引建立历史基线。
测试与验证
可通过 makeresults 构造已知攻击模式进行测试，并计算检测指标，如精确率和误报率。
MITRE ATT&CK 映射
技能提供了技术 ID 与 SPL 检测方法的映射表，包括 T1110.001（密码猜测）、T1059.001（PowerShell）、T1021.002（SMB/Windows 管理共享）、T1048（通过 C2 外泄）、T1053.005（计划任务）、T1003.001（LSASS 内存）等。
限制
资料未提供具体的收费、价格、平台限制或效果保证信息。实际检测效果取决于环境配置、数据源质量和规则调优。