21 готовое к production правило, срабатывающее на реальные угрозы — минимум ложных срабатываний с учётом контекста процессов. Исходный код доступен.
Алерт на создание ransom note, переименование файлов в encrypted-расширения (LockBit, Akira, Cl0p и 30+ других), массовое переименование и команды уничтожения бэкапов.
Детект смены UID на root из не-root процессов через setuid/setreuid, с исключением известных privilege-separation бинарников (например, sshd).
Алерт на загрузку модулей ядра процессами, кроме известных инструментов (insmod, modprobe, kmod).
Ловит shell-процессы (bash, sh, zsh, dash, ksh), устанавливающие исходящие сетевые соединения — техника #1 пост-эксплуатации.
Детект использования memfd_create — основного вектора fileless malware, выполняемого полностью из памяти.
Детект кросс-процессной записи в память через process_vm_writev — используется инструментами инъекции для записи shellcode.
Алерт на запись в /etc/passwd, /etc/shadow, /etc/hosts, /etc/ld.so.preload и другие файлы, которые атакующие изменяют для закрепления или эскалации привилегий.
Алерт на создание cron-задач в /etc/cron.* и /var/spool/cron/ не-системными процессами.
Алерт на запись в любой файл .ssh/authorized_keys процессами, кроме ssh-copy-id.
Детект записи в /etc/sudoers или /etc/sudoers.d/ процессами, кроме visudo.
Алерт при создании нового .service-файла в /etc/systemd/system/ неожиданным процессом.
Алерт на успешный SSH-вход после 3+ неудачных попыток с того же IP в течение 10 минут.
Детект процессов, запущенных с непустой переменной LD_PRELOAD — распространённая техника перехвата системных вызовов.
Флагирует подозрительные вызовы unshare/setns с флагами user, PID или mount namespace от неожиданных процессов.
Детектирует имена процессов майнеров, stratum-паттерны в командных строках, порты майнинг-пулов и DNS-запросы к известным пулам.
Детектирует команды остановки или отключения auditd — типичный шаг атакующего для снижения покрытия детекции.
Алерт на setenforce 0 или запись permissive/disabled режима в /etc/selinux/config.
Флагирует sudo-вызовы для установки SUID-битов, chmod 777 или записи в чувствительные системные пути.
Флагирует новые или изменённые файлы udev rules, записанные процессами, кроме udevadm или известных пакетных менеджеров.
Stateful-детекция повторных SSH-ошибок с одного IP во временном окне, с cooldown для предотвращения флуда алертов.
Алерт, когда не-сетевые процессы устанавливают исходящие соединения на известные сервисные порты (22, 25, 53, 80, 443, 3306, 5432).
Хотите увидеть, как эти правила срабатывают на реальном Linux-хосте?