Mission SOC 14 — Combler une lacune de détection ATT&CK avec Sigma

Après la mission 13, une question : pourquoi aucune règle n'a détecté l'ajout de la clé SSH avant le FIM ? Le dossier ~/detections contient les règles Sigma actives ; ~/couverture/observees.csv liste les techniques observées ces 30 jours.

1. Comparez les techniques observées aux étiquettes attack.t… des règles : quelle technique observée n'est couverte par aucune règle ? → answer lacune <Txxxx.xxx>
2. Écrivez la règle ~/detections/fim_authorized_keys.yml :
   • title et status: experimental
   • logsource : product: linux, service: fim
   • une sélection sur path|endswith: '/.ssh/authorized_keys' et event: modified, avec condition: selection
   • level: high, étiquettes attack.persistence et attack.t1098.004
3. Testez-la sur l'historique : sigma-backtest ~/detections/fim_authorized_keys.yml