Fiche mémo
Requêtes SIEM
KQL pour Elastic/Kibana, SPL pour Splunk. La démarche de triage est dans SOC et SIEM.
CJCADéfense
KQL et SPL côte à côte
| Je veux… | KQL (Kibana) | SPL (Splunk) |
|---|---|---|
| Égalité | event.code:4625 | EventCode=4625 |
| Plusieurs valeurs | event.code:(4624 or 4625) | EventCode IN (4624, 4625) |
| Exclure | not user.name:"svc_backup" | NOT user="svc_backup" |
| Joker | process.name:*powershell* | process_name="*powershell*" |
| Champ présent | process.command_line:* | process_command_line=* |
| Plage | destination.port >= 1024 | dest_port>=1024 |
| Réseau | source.ip:10.0.0.0/8 | | where cidrmatch("10.0.0.0/8", src_ip) |
| Compter par champ | Visualisation (pas en KQL) | | stats count by user |
| Seuil | Règle à seuil dans Elastic Security | | stats count by src_ip | where count > 10 |
| Trier, limiter | Tri de colonne dans Discover | | sort -count | head 10 |
PiègeLes noms de champs SPL dépendent de la façon dont les données sont indexées. Vérifie-les dans la barre latérale des champs avant d'écrire la requête.
Champs ECS fréquents (Elastic)
| Champ | Contenu |
|---|---|
| @timestamp | Date de l'événement |
| event.code | Identifiant de l'événement (ex. Event ID Windows) |
| event.action / event.outcome | Action réalisée / succès ou échec |
| host.name | Machine qui a produit l'événement |
| user.name | Compte concerné |
| process.name / process.command_line | Processus et sa ligne de commande |
| process.parent.name | Processus parent |
| source.ip / destination.ip | Adresses source et destination |
| destination.port | Port de destination |
| file.path / file.hash.sha256 | Fichier concerné et son empreinte |
| winlog.event_data.LogonType | Type de logon Windows |
Requêtes prêtes à l'emploi (KQL)
# Échecs de connexion sur un compte event.code:4625 and user.name:"administrator" # Connexions RDP réussies event.code:4624 and winlog.event_data.LogonType:10 # PowerShell lancé par un document Office process.name:"powershell.exe" and process.parent.name:("winword.exe" or "excel.exe") # PowerShell encodé process.name:"powershell.exe" and process.command_line:*-enc* # Accès à lsass (Sysmon) event.code:10 and winlog.event_data.TargetImage:*lsass.exe # Journal d'audit effacé event.code:1102
Requêtes prêtes à l'emploi (SPL)
# Sources avec beaucoup d'échecs de connexion index=windows EventCode=4625 | stats count by src_ip, user | where count > 10 | sort -count # Processus rares sur le parc index=sysmon EventCode=1 | stats count by Image | sort count | head 20