corelight/threat-hunting-guideدليل منظم لصيد التهديدات باستخدام سجلات Zeek، متوافق مع إطار عمل MITRE ATT&CK للكشف الاستباقي عن تكتيكات وتقنيات الخصوم.
يعمل هذا المستودع كبيانات عمل لدليل Corelight لصيد التهديدات. النصوص المصدرية التي تتم صيانتها هنا تُخضع بشكل دوري للتحرير والتنسيق والتصميم الجرافيكي، ثم تُنشر كملف PDF وتُوزَّع بواسطة شركة Corelight, Inc. (“Corelight”). لا يوجد جدول زمني محدد لهذه الإجراءات، لكن تاريخيًا يتم إصدار نسخة جديدة كل ستة إلى اثني عشر شهرًا.
إذا كنت ترغب في الحصول على أحدث إصدار من دليل Corelight لصيد التهديدات، يمكنك العثور عليه هنا.
نسخة PDF هي لقطة لحظية للمحتوى في وقت النشر وقد لا تحتوي على جميع المحتوى الموجود في هذا المستودع.
يتم صيانة هذا العمل بواسطة Corelight وأعضاء مجتمع Corelight، وعلى الرغم من أنه يشير إلى مشروع Zeek وسجلات Zeek، إلا أنه ليس جزءًا من مشروع Zeek (على الرغم من أن أي عضو من مجتمع مستخدمي Zeek مرحب به للمساهمة هنا).
جميع الأعمال مُرخَّصة بموجب رخصة المشاع الإبداعي نَسب المُصنَّف - غير تجاري - الترخيص بالمثل. يرجى قراءة هذه الرخصة وفهمها وتحديد ما إذا كنت توافق عليها قبل اتخاذ قرار المساهمة في هذا المشروع. إذا ساهمت في المشروع، فأنت توافق على شروط الرخصة.
تمتلك شركة Corelight, Inc. العمل هنا، ويُستخدم لأغراض تسويق Corelight (مثل الندوات عبر الإنترنت والمواد المطبوعة ونصوص الموقع الإلكتروني). يمكن استخدام أي محتوى تساهم به هنا لهذه الأغراض. لا يجوز استخدام هذا المحتوى لأغراض تجارية من قبل أي منظمة أخرى بخلاف Corelight, Inc.
تحتفظ شركة Corelight, Inc. بالحق في الاعتراف بحرية بالمساهمين المدرجين في ملف CREDITS في هذا المستودع، ونشر مشاركاتهم وصورهم وأسمائهم من GitHub إلكترونيًا وفي المطبوعات. إذا كنت ترغب في أن يتم الاعتراف بمساهمتك، فيرجى وضع اسمك في ملف CREDITS.
يمكن مشاركة المحتوى هنا بحرية.
تحتفظ شركة Corelight, Inc. بالسيطرة التحريرية على المحتوى هنا. ستتم مراجعة جميع المساهمات، لكن Corelight تحتفظ بالحق في:
ومع ذلك، فإن الأشخاص الذين يشكلون Corelight هم بالضبط ذلك: أشخاص. نحن نشارك هذا المحتوى مع العالم لأننا نريد مشاركة المجتمع. نريد من عملائنا وأعضاء مجتمع Zeek أن يخبرونا إذا كان هناك أي شيء غير دقيق تقنيًا أو إذا كان البحث عن تهديد معين لا يعمل على شبكاتهم أو على نطاق معين، لأن هذه المعلومات ستفيد كل من يقرأ هذا الدليل في المستقبل.
هناك طريقتان رئيسيتان للمساهمة:
حيثما أمكن، يجب أن تتوافق المساهمات مع إطار عمل MITRE ATT&CK.
كل تكتيك (هدف أو مرحلة) من ATT&CK موجود في مجلد خاص به، مرقّم بالأرقام التي تحددها MITRE. داخل كل مجلد تكتيك يوجد ملف لكل تقنية. يجب أن تحمل ملفات التقنيات بادئة تطابق رقم التقنية المحدد من قبل MITRE.
| القسم |
|---|
| الاقتراح | Markdown | النتيجة |
|---|
| يجب تنسيق أسماء السجلات كنص أحادي المسافة والإشارة إليها باسم السجل، وليس باسم الملف المخزن على القرص | Check in the `conn` log... | تحقق في سجل conn... |
| يجب أيضًا تنسيق أسماء الحقول كنص أحادي المسافة | The `cookie` field can sometimes contain a username... | يمكن أن يحتوي حقل cookie أحيانًا على اسم مستخدم... |
| يجب أيضًا تنسيق القيم الحرفية كنص أحادي المسافة | If the number of bytes is `532` then... | إذا كان عدد البايتات هو 532 فإن... |
