добавлено правило обнаружения дампа lsass.exe путем использования функционала comsvc.dll

[d3f0x0]

Добавлено правило корреляции Memdump_comsvc_minidump

Resolve #46

Правило основанно на 3х событиях:

• Create_process_rundll - выполнение функции MiniDump. Регулярное выражение (comsvcs)(.dll)?\W+(minidumpw?|#+?24|#-4294967272) обнаруживает использование:
  • comsvc
  • comsvc.dll
  • minidump

  • \24

  • +24

  • -4294967272

• Create_file - создание файла процессом rundll32
• Access_to_process - получение доступа к процессу