ThreatHunting | Eine Splunk-App, abgestimmt auf MITRE ATT&CK, zur Steuerung Ihrer Jagd nach Bedrohungen

Dies ist eine Splunk-Anwendung, die mehrere Dashboards und über 130 Berichte enthält, die erste Jagdindikatoren zur Untersuchung bereitstellen.

Sie müssen offensichtlich Sysmon-Daten in Splunk aufnehmen, eine gute Konfiguration finden Sie hier

Hinweis: Diese Anwendung ist kein Allheilmittel, sie erfordert Anpassung und echte Untersuchungsarbeit, um in Ihrer Umgebung wirklich effektiv zu sein. Versuchen Sie, beste Freunde mit Ihren Systemadministratoren zu werden. Sie werden in der Lage sein, viele der anfänglich entdeckten Indikatoren zu erklären.

Großer Dank gilt MITRE für die Erstellung des ATT&CK-Frameworks!

Pull-Requests / Issue-Tickets und neue Ergänzungen werden sehr geschätzt!

Mitre ATT&CK

Ich bemühe mich, alle Suchvorgänge dem ATT&CK-Framework zuzuordnen. Ein aktueller ATT&CK Navigator-Export aller verknüpften Konfigurationen ist hier zu finden und kann hier eingesehen werden

Erforderliche Maßnahmen nach der Bereitstellung

• Befolgen Sie alle Schritte auf der About-Seite der App und stellen Sie sicher, dass alle Anforderungen erfüllt sind.
• Stellen Sie sicher, dass der Index „threathunting“ auf Ihren Indexern vorhanden ist.
• Bearbeiten Sie die Makros, um sie an Ihre Umgebung anzupassen > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (stellen Sie sicher, dass der Sourcetype korrekt ist)
• Die App wird ohne Whitelist-Lookup-Dateien ausgeliefert; Sie müssen diese selbst erstellen. Dies dient dazu, dass Sie sie bei einem Upgrade der App nicht versehentlich überschreiben.
• Installieren Sie die Lookup-CSVs oder erstellen Sie sie selbst, leere CSVs finden Sie hier

Eine Schritt-für-Schritt-Anleitung, freundlicherweise verfasst von Kirtar Oza, finden Sie hier

Verwendung

Eine detailliertere Erklärung aller Funktionen finden Sie hier oder in diesem Blogbeitrag