Threat Hunting/Erkennung mit KQL-Abfragen

  _  _____  _       _____ _   _ ____  _____    _  _____   _   _ _   _ _   _ _____ ___ _   _  ____ 
 | |/ / _ \| |     |_   _| | | |  _ \| ____|  / \|_   _| | | | | | | | \ | |_   _|_ _| \ | |/ ___|
 | ' | | | | |       | | | |_| | |_) |  _|   / _ \ | |   | |_| | | | |  \| | | |  | ||  \| | |  _ 
 | . | |_| | |___    | | |  _  |  _ <| |___ / ___ \| |   |  _  | |_| | |\  | | |  | || |\  | |_| |
 |_|\_\__\_|_____|   |_| |_| |_|_| \_|_____/_/   \_|_|   |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
                                                                                                         

[!NOTE]
27. Januar: Nach fast einem Jahr der Beiträge wird dieses Repository umfassend überarbeitet, um der aktuellen Community-Landschaft gerecht zu werden und auch eine deutlich bessere Kontextualisierung zu bieten, um weiterhin einen Beitrag leisten zu können.

Dieses Repository ist ein Bestreben, vorgefertigte Erkennungs- und Hunting-Abfragen (und mehr) bereitzustellen, um Analysten und Threat Huntern zu helfen, die Leistungsfähigkeit von KQL in Microsoft Sentinel und Microsoft Defender XDR zu nutzen.

• KQL-Schulung
• KQL-Grundlagen
• Grundlagen des Threat Hunting
• KQL-Community

Bitte:

• Lesen Sie den Haftungsausschluss unten.
• Wenn Sie hier eine nützliche Abfrage gefunden haben, erwägen Sie, diesem Repository einen ⭐ zu geben.

Viel Vergnügen, und bitte wenden Sie sich bei Bedenken und Anregungen an: cyb3rmik3.

Hat Ihnen meine Arbeit gefallen? Erwägen Sie, mich mit einem Kaffee zu unterstützen! :)

---

KQL-Schulung

Microsoft Security Operations Analyst Associate (SC-200)

Wenn Microsoft Sentinel und Microsoft 365 Defender Ihre täglichen Werkzeuge sind, sollten Sie in Erwägung ziehen, Microsofts Kurs zum zertifizierten Security Operations Analyst (Prüfungscode SC-200) zu absolvieren. Sie werden mit der breiten Palette von Microsoft-Sicherheitsprodukten vertraut gemacht und lernen, wie Sie diese nutzen können, um Daten und Sicherheitssignale bereitzustellen und Warnungen und Vorfälle zu analysieren.

Wie dem auch sei, Sie können in Microsofts Kurs einsteigen, der sich auf KQL konzentriert:

• Utilize KQL for Azure Sentinel
• Configure Azure Sentinel environment

Abfragen im erweiterten Modus erstellen

Die Experten-Schulung zur erweiterten Suche in Microsoft Defender XDR bietet einen umfassenden Leitfaden für Sicherheitsanalysten und Threat Hunter, um ihre Fähigkeiten in der erweiterten Suche zu verbessern. Die Schulung wird in einer Reihe von Webcasts mit den Titeln „Tracking the Adversary“ und „L33TSP3AK“ vermittelt.

• Get expert training on advanced hunting

Hands-On KQL für Threat Hunting und Detection Engineering

Mehmet Ergene (alias cyb3rmonk) gründete die blu raven academy, wo er die folgenden KQL-Schulungskurse anbietet, einschließlich praktischer Erfahrung in einer hyperrealistischen Laborumgebung.

• "Introduction to KQL for Security Analysis (FREE)"
• "Hands-On KQL for Threat Hunting and Detection Engineering"
• Hands-On Kusto Query Language (KQL) for Security Analysts

Rod Trents MustLearnKQL

Rod Trent hat die Reihe MustLearnKQL erstellt, eine Sammlung von Blogbeiträgen und YouTube-Videos, die sich bemüht, über die Leistungsfähigkeit und Einfachheit der Kusto Query Language zu diskutieren und aufzuklären.

CTF-ähnliches Lernen

• KC7 Cyber ist eine neue Art, Cybersicherheit zu lernen, die praxisnah, unterhaltsam und fesselnd ist.
• Kusto Detective Agency ist eine Reihe von Herausforderungen, die Ihnen helfen sollen, KQL zu lernen.

Incident Response in der Microsoft Cloud

Invictus hat die Schulung Incident Response in the Microsoft Cloud erstellt, die behandelt, wie man Incident Response in Microsoft Azure und Microsoft 365 durchführt. Dies umfasst KQL-Grundlagen, aber auch KQL-Querypacks und fortgeschrittenere Anwendungsfälle sowie KQL-Abfragen für Cloud-Angriffe.

---

KQL-Grundlagen

Geeignete Tabelle auswählen

Daten sind in einer Hierarchie aus Datenbanken, Tabellen und Spalten organisiert, ähnlich wie bei SQL. Beispielsweise enthält die Tabelle DeviceNetworkEvents im Schema für erweiterte Suche Informationen über Netzwerkverbindungen und zugehörige Ereignisse.

where-Operator

where filtert anhand eines bestimmten Prädikats

DeviceNetworkEvents
| where LocalIP == "192.168.0.1"

contains/has

• Contains: Sucht nach einer beliebigen Teilzeichenketten-Übereinstimmung
• Has: Sucht nach einem bestimmten Wort (bessere Leistung)

DeviceNetworkEvents
| where DeviceName has "ComputerName"

ago

Gibt den Zeitversatz relativ zum Zeitpunkt der Abfrageausführung zurück

DeviceNetworkEvents
| where Timestamp > ago(1d)

project

Wählt die Spalten aus, die in der angegebenen Reihenfolge eingeschlossen werden sollen

DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl

---

Grundlagen des Threat Hunting

Microsoft Threat Hunting

Threat Hunting sollte ein kontinuierlicher Prozess sein. Wir beginnen am Anfang unseres Zyklus mit unserer Hypothese. Unsere Hypothese hilft uns zu planen, wonach wir suchen werden, was voraussetzt, dass wir verstehen, wo wir suchen werden und wie wir dabei vorgehen. Das bedeutet, dass wir die uns vorliegenden Daten, die uns zur Verfügung stehenden Tools, unsere Expertise und den Umgang damit verstehen müssen. Der Hunting-Zyklus endet nicht mit der Ausführung der Suche. Es gibt noch mehrere Phasen, die wir über den gesamten Lebenszyklus hinweg durchlaufen müssen, einschließlich der Reaktion auf Anomalien. Selbst wenn wir keine aktive Bedrohung finden, gibt es Aktivitäten durchzuführen. Mehr.