cyb3rmik3/kql-threat-hunting-queriesمستودع استعلامات KQL مُركّز على اصطياد التهديدات وكشفها لـ Microsoft Sentinel وMicrosoft XDR (المعروف سابقًا باسم Microsoft 365 Defender).
_ _____ _ _____ _ _ ____ _____ _ _____ _ _ _ _ _ _ _____ ___ _ _ ____
| |/ / _ \| | |_ _| | | | _ \| ____| / \|_ _| | | | | | | | \ | |_ _|_ _| \ | |/ ___|
| ' | | | | | | | | |_| | |_) | _| / _ \ | | | |_| | | | | \| | | | | || \| | | _
| . | |_| | |___ | | | _ | _ <| |___ / ___ \| | | _ | |_| | |\ | | | | || |\ | |_| |
|_|\_\__\_|_____| |_| |_| |_|_| \_|_____/_/ \_|_| |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
[!NOTE]
27 يناير: بعد ما يقرب من عام من المساهمات، يخضع هذا المستودع لعملية إعادة بناء كبيرة لمواكبة المشهد الحالي للمجتمع، وأيضًا لتوفير سياق أفضل بكثير من أجل مواصلة المساهمة.
يمثل هذا المستودع جهدًا لتوفير استعلامات جاهزة للكشف والبحث (والمزيد) من أجل مساعدة المحللين وصائدي التهديدات على تسخير قوة KQL في Microsoft Sentinel وMicrosoft Defender XDR.
يرجى:
استمتع، ولا تتردد في التواصل بشأن أي مخاوف واقتراحات: cyb3rmik3.
إذا كانت Microsoft Sentinel وMicrosoft 365 Defender هما أدواتك اليومية، فينبغي أن تفكر في اتباع دورة محلل العمليات الأمنية المعتمد من Microsoft (رمز الاختبار SC-200). ستتعرف على المجموعة الواسعة من منتجات Microsoft الأمنية وكيف يمكنك استخدامها لتوفير البيانات وإشارات الأمان وتحليل التنبيهات والحوادث.
ومع ذلك، يمكنك الانتقال مباشرة إلى دورة Microsoft التي تركز على KQL:
يوفر تدريب خبير البحث المتقدم في Microsoft Defender XDR دليلًا شاملًا لمحللي الأمان وصائدي التهديدات لتعزيز مهاراتهم في البحث المتقدم. يُقدَّم التدريب عبر سلسلة من الندوات الإلكترونية بعنوان "Tracking the Adversary" و"L33TSP3AK".
أسس Mehmet Ergene (المعروف بـ cyb3rmonk) أكاديمية blu raven حيث يقدم دورات تدريبية على KQL التالية، بما في ذلك الخبرة العملية في بيئة مختبرية فائقة الواقعية.
أنشأ Rod Trent سلسلة MustLearnKQL وهي مجموعة من منشورات المدونات ومقاطع فيديو YouTube تشكل جهدًا لمناقشة وتعليم قوة وبساطة لغة الاستعلام Kusto.
Invictus أنشأ تدريب الاستجابة للحوادث في Microsoft Cloud الذي يغطي كيفية تنفيذ الاستجابة للحوادث في Microsoft Azure وMicrosoft 365. يشمل ذلك أساسيات KQL، ولكن أيضًا حزم استعلامات KQL والمزيد من حالات الاستخدام المتقدمة واستعلامات KQL للهجمات السحابية.
يتم تنظيم البيانات في تسلسل هرمي من قواعد البيانات والجداول والأعمدة، على غرار SQL. على سبيل المثال، يحتوي جدول DeviceNetworkEvents في مخطط البحث المتقدم على معلومات حول اتصالات الشبكة والأحداث ذات الصلة.
يقوم where بالتصفية بناءً على شرط محدد
DeviceNetworkEvents
| where LocalIP == "192.168.0.1"
DeviceNetworkEvents
| where DeviceName has "ComputerName"
يُرجع الإزاحة الزمنية نسبةً إلى وقت تنفيذ الاستعلام
DeviceNetworkEvents
| where Timestamp > ago(1d)
يحدد الأعمدة المراد تضمينها بالترتيب المحدد
DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl
ينبغي أن يكون صيد التهديدات عملية مستمرة. نبدأ من أعلى دورتنا بفرضيتنا. تساعدنا فرضيتنا على التخطيط لما سنصطاده، وهو ما يتطلب منا فهم أين سنصطاد وكيف سنفعل ذلك. وهذا يعني أننا بحاجة إلى فهم البيانات المتاحة لدينا، والأدوات التي نمتلكها، والخبرة التي لدينا، وكيفية العمل بها. لا تتوقف دورة الصيد عند تنفيذ عملية الصيد. فلا تزال هناك عدة مراحل نحتاج إلى إجرائها طوال دورة الحياة، بما في ذلك الاستجابة للحالات الشاذة. وحتى إذا لم نعثر على تهديد نشط، فستكون هناك أنشطة يتعين تنفيذها. المزيد.
يتكون نهج الصيد من مكوّنين: توصيف النشاط الخبيث، وتنفيذ عملية الصيد. وينبغي أن تكون هذه المكوّنات أنشطة مستمرة، تُحدَّث باستمرار بناءً على معلومات جديدة عن الخصوم وميدان العمل. المزيد.
تُعدّ المساهمة والمشاركة داخل المجتمع أمرًا بالغ الأهمية لأنه يعزز بيئة تعاونية يمكننا فيها جميعًا تبادل الرؤى والتحديات والنهوض بخبراتنا بشكل جماعي. فيما يلي، ستجد بعضًا من موارد المجتمع التي أضفتها إلى إشاراتي المرجعية.
KQL Search هو مشروع أنشأه Ugur Koc يجمع مستودعات GitHub من أعضاء مجتمع KQL الذين يساهمون باستعلامات لـ Microsoft Sentinel وMicrosoft Defender XDR. ويُدرَج هذا المستودع أيضًا إلى جانب جهود أعضاء آخرين محترمين لبناء دفاعات أفضل باستخدام حزمة Microsoft Security.