TelemetrySource

Projekt zur Kartierung von Funktionen, die für das Auslösen von Ereignissen aus verschiedenen Telemetriequellen verantwortlich sind.

Haupt-Zuordnungstabelle: Google Sheet zur Ereigniszuordnung

Derzeit zugeordnete Quellen:

Sysmon

Windows-Sicherheitsereignisse (Microsoft-Windows-Security-Auditing)

Threat-Intelligence-Ereignisse (Microsoft-Windows-Threat-Intelligence)

• Jede Quelle besitzt eine eigene README-Datei mit den notwendigen Informationen, um zu verstehen, wie die Zuordnungen funktionieren.

Blogs:

Ich habe ein paar Beiträge über meine Methodik geschrieben, diese Ereignisse bis zu den APIs zurückzuverfolgen. Bitte lies sie, falls du interessiert bist:

• Uncovering Windows Events - Part 1: TelemetrySource
• Uncovering Windows Events - Part 2: The Methodology
• Uncovering Windows Events - Part 3: Threat Intelligence ETW

Feedback:

Wenn jemand Vorschläge hat, wie diese Daten anders bereitgestellt werden könnten, um Verteidigern besser zu helfen, oder sonstiges Feedback hat, melde dich bitte! Das Ziel dieses Projekts ist es, Verteidigern zu helfen zu verstehen, wie Daten erzeugt werden, damit wir bei der Nutzung dieser Daten fundiertere Entscheidungen treffen können.

Offene Aufgaben:

• Sysmon auf v14 aktualisieren
• Ereignisse in Microsoft-Windows-Security-Auditing erweitern
• Weitere ETW-Provider hinzufügen