CONTENT ANALYTICS / POSTURE CONFIGURÉE

Posture du contenu de détection

Inventaire filtrable des recherches planifiées : couverture ATT&CK, risque analytique configuré, cadence et niveau de validation.

SOURCE DE VÉRITÉsavedsearches.conf RUNTIMESplunk 10.2.1

Analytique

Statut

Tactique

Sévérité

Cadence

18 / 18

Couverture par tactique

Nombre d’analytiques dans le périmètre filtré

detections/*.md

État de validation

Contrat de promotion du contenu

Risque analytique configuré

Score du contenu, pas des événements observés

Cadence des recherches

Distribution du scheduler

Pipeline RBA compatible Splunk ES

Sorties matérialisées, corrélées et versionnées sur la campagne

VÉRIFIÉ

risk 19 modificateurs indexés

notable 2 versions du finding

current finding 1 file dédupliquée

cumulative risk 1 185 cinq techniques corrélées

RBA ES-compatible vérifié dans les indexes risk/notable ; aucune instance ES native n’est prétendue active.

Matrice ATT&CK du contenu

Technique unique · statut le plus mûr · intensité selon le risque configuré

Registre des analytiques

Trié par risque configuré · sélectionner une ligne pour enquêter

Ouvrir les spécifications ↗

ÉTAT	DÉTECTION	ATT&CK	TACTIQUE	RISQUE	PLANIFICATION	VALIDATION

PLATFORM ENGINEERING / QUALITÉ DES DONNÉES

Santé de la plateforme et des données

Le snapshot de détection reste figé ; les qualifications d’administration du 7 août sont reliées à leurs preuves publiques.

RUNTIME FINALstandalone · 10.2.1 APPLICATIONsplunk-detection-lab · 0.7.3

Atelier de requêtes du snapshot

Trois agrégats pris en charge · aucun job Splunk distant

LECTURE SEULE

Indexes du snapshot de détection

Inventaire figé du 6 août · capacité et rétention observées

splunk-engineering-snapshot-20260806.json

INDEX	USAGE	LIFETIME	SNAPSHOT	CAPACITÉ	RÉTENTION	ÉTAT

Chemin de livraison contrôlé

Du capteur au contenu versionné

CHEMIN VÉRIFIÉ

01
SOURCEEndpoint Windows
Sysmon · Security · Application · System
event channels
02
FORWARDUniversal Forwarder
Abonnements explicites dans inputs.conf
9997/tcp
03
INDEXSplunk Enterprise
Séparation sysmon / windows et rétention bornée
indexes.conf
04
NORMALIZEObjets de connaissance
macros · CIM-oriented rename · allowlists
macros.conf
05
DETECTContenu planifié
18 définitions déployées et suppressions ciblées
savedsearches.conf

ANALYST WORKFLOW / SURFACES AGRÉGÉES

Atelier d’investigation

Trois cas relient l’hypothèse, les champs attendus, le SPL déployé, le tuning et l’action analyste. Les visuels associés restent strictement agrégés.

MÉTHODEScénario contrôlé → Sysmon → SPL VISUELSAgrégés / revus

RISK-BASED ALERTING / ENTITY CORRELATION

Une attaque multi-technique, un finding exploitable

Les signaux unitaires conservent leur contexte ; la corrélation agrège la diversité ATT&CK et déduplique la file analyste.

POSTURECRITICAL

RISK MODIFIERS19signaux normalisés

CUMULATIVE RISK1 185centré entité

ATT&CK5techniques distinctes

CURRENT FINDING1file dédupliquée

VALIDATION18/18dispatchs sans erreur

T1059.00112PowerShell Encoded

T1003.0012LSASS Access

T11402Certutil Decode

T1547.0012Run Key

T1136.0011Local Account

HYPOTHÈSE DE DÉTECTION

CONTRÔLE DE PRÉCISION

SPL DÉPLOYÉ

01
Émuler
Atomic ou scénario manuel borné.
02
Collecter
Conserver les champs nécessaires au triage.
03
Détecter
Appliquer le SPL et les exclusions explicites.
04
Valider
Contrôler les résultats agrégés et consigner la décision.
05
Répondre
Passer du signal au contexte et à la décision.

ENGINEERING ASSURANCE / TRAÇABILITÉ

Preuves & maîtrise de la livraison

Chaque affirmation publique renvoie à une configuration, une spécification ou un artefact agrégé ; les limites restent visibles.

MODÈLEDetection-as-Code SURFACE PUBLIQUEStatique / lecture seule

Qualifications d’administration vérifiables

Neuf domaines, neuf artefacts publics assainis, aucune dépendance à la VM

QUALIFICATION CLOSE

Registre des affirmations

De la métrique affichée à l’artefact versionné

TRAÇABLE

AFFIRMATION PUBLIQUE	ARTEFACT SOURCE	VÉRIFICATION	PÉRIMÈTRE
Composition des 173 événements	`public-validation-snapshot-2026-08-06`	148 + 4 + 19 + 2	Agrégat figé
Recherches planifiées et cadences	`conf/splunk/local/savedsearches.conf`	disabled = 0	Contenu déployé
Techniques et statuts ATT&CK	`coverage/coverage.md`	Navigator layer	Posture du contenu
Résultats et constats de validation	`artifacts/public/splunk-engineering-snapshot-20260806.json`	Métriques agrégées	Snapshot historique
Capacité et rétention	`conf/splunk/local/indexes.conf`	btool check	Instance locale

File de promotion

Un blocage concret, pas un score décoratif

PASS · MATCHED

Certutil · T1140 / T1105win_sysmon_t1140_certutil_decode

RISK 60

CONSTAT: Deux événements Certutil ont franchi la détection lors du replay contrôlé.
CANDIDAT: Image OR OriginalFileName="CertUtil.exe"
CONTRÔLE: Conserver Image, OriginalFileName, parent et ligne de commande avant revue du bruit.
PROCHAINE ÉTAPE: Élargir le dataset bénin, mesurer le taux de faux positifs, puis décider la promotion Production.

Galerie de validation

Trois captures revues, limitées aux métriques et vues agrégées

ALLOWLIST · 3 CAPTURES AGRÉGÉES

Roadmap d’extension

Chaque extension est reliée à la source de données qui la rend mesurable

PÉRIMÈTRE

Surface publique maîtrisée

Propriétés vérifiables du portfolio statique

01HTML, CSS et JS statiques

Aucun backend, formulaire ou compte utilisateur.

02Ressources servies localement

Aucune police, bibliothèque ou télémétrie tierce.

03CSP + Referrer Policy

Scripts, styles et images limités à l’origine.

04Validation avant publication

Le contrôle CI impose une allowlist PNG et bloque preuves brutes, secrets, adresses privées, identifiants retirés et métadonnées.