Chasse sur les créations de processus (logique Sigma)

Table process_events (équivalent Sysmon 1 / EDR : ts, host, user, image, cmdline, parent_image). Traduisez ces détections, classiques des règles Sigma, en requêtes :

1. PowerShell encodé : image se terminant par powershell.exe et ligne de commande contenant -enc ou -EncodedCommand — colonnes host, user, cmdline
2. Office lançant un shell : parent EXCEL.EXE ou WINWORD.EXE, image powershell.exe ou cmd.exe — colonnes host, parent_image, image
3. LOLBin de téléchargement : certutil avec -urlcache — colonnes host, cmdline
4. Poste patient zéro → answer patient0 <host>
5. Un de ces résultats est un faux positif : son host → answer fauxpositif <host>