keyboardcrunch/sentinelone-attack-queriesMITRE ATT&CK zugeordnete Abfragen für SentinelOne Deep Visiblity
MITRE ATT&CK zugeordnete Abfragen für SentinelOne Deep Visiblity
Dieses Projekt wurde durch das Repository SentinelOne-Queries ersetzt, das auf gemeinsam nutzbare Signaturen und den Einsatz in Werkzeugen ausgerichtet ist. Das neue Repository basiert auf der Arbeit in diesem Repository, und die meisten Tests werden weiterhin gegen Atomic Red Team durchgeführt. Diese Abfragen werden nicht aktualisiert, da sich Erkennungen zwischen Agent-Versionen usw. ändern.
Dieses Projekt zielt darauf ab, SentinelOne Deep Visibility-Abfragen zur Erkennung von Windows-TTPs zu dokumentieren, die vom Atomic Red Team-Framework von Red Canary Co. erzeugt werden. Nicht alle Techniken, die im Atomic Red Team-Projekt dokumentiert sind, werden über passende Abfragen verfügen; aufgrund der begrenzten Datenquellen in SentinelOne werden einige Erkennungen begrenzt sein. Wir werden schließlich über A.R.T. hinausgehen und diese einfach als ATT&CK-zugeordnete Abfragen bezeichnen, aber ich mag die Idee, einen Rahmen zum Testen dieser Erkennungen zu haben.
Diese Abfragen wurden für die Liberty-Konsolenversion erstellt und getestet und sollten Deep Visibility 3.0 unterstützen. Es wird empfohlen, dass Ihre Sentinel-Agents 4.2.x oder neuer sind, da einige der abgefragten Indikatordaten nur von neueren Agents erfasst werden.
