cyb3rmik3/kql-threat-hunting-queriesUn repositorio de consultas KQL centradas en la caza de amenazas y la detección de amenazas para Microsoft Sentinel y Microsoft XDR (anteriormente Microsoft 365 Defender).
_ _____ _ _____ _ _ ____ _____ _ _____ _ _ _ _ _ _ _____ ___ _ _ ____
| |/ / _ \| | |_ _| | | | _ \| ____| / \|_ _| | | | | | | | \ | |_ _|_ _| \ | |/ ___|
| ' | | | | | | | | |_| | |_) | _| / _ \ | | | |_| | | | | \| | | | | || \| | | _
| . | |_| | |___ | | | _ | _ <| |___ / ___ \| | | _ | |_| | |\ | | | | || |\ | |_| |
|_|\_\__\_|_____| |_| |_| |_|_| \_|_____/_/ \_|_| |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
[!NOTE]
27 de enero: Después de casi un año de contribuciones, este repositorio está siendo sometido a una reconstrucción profunda para adaptarse al panorama actual de la comunidad y, además, a una contextualización mucho mejor con el fin de seguir contribuyendo.
Este repositorio es un esfuerzo por proporcionar consultas de detección y búsqueda de amenazas listas para usar (y más) con el fin de ayudar a los analistas y cazadores de amenazas a aprovechar el poder de KQL en Microsoft Sentinel y Microsoft Defender XDR.
Por favor:
Disfrute, y por favor póngase en contacto para cualquier inquietud y sugerencia: cyb3rmik3.
Si Microsoft Sentinel y Microsoft 365 Defender son sus herramientas de uso diario, debería considerar seguir el curso Certified Security Operations Analyst de Microsoft (código de examen SC-200). Se familiarizará con la amplia gama de productos de seguridad de Microsoft y cómo puede utilizarlos para proporcionar datos, señales de seguridad y analizar alertas e incidentes.
Aun así, puede acceder al curso de Microsoft que se centra en KQL:
La formación experta en búsqueda avanzada de Microsoft Defender XDR proporciona una guía completa para que los analistas de seguridad y cazadores de amenazas mejoren sus habilidades en la búsqueda avanzada. La formación se imparte a través de una serie de webcasts titulados "Tracking the Adversary" y "L33TSP3AK".
Mehmet Ergene (también conocido como cyb3rmonk) fundó la blu raven academy, donde ofrece los siguientes cursos de formación en KQL, incluida la experiencia práctica en un entorno de laboratorio hiperrealista.
Rod Trent creó la serie MustLearnKQL, que es un conjunto de publicaciones de blog y vídeos de Youtube que constituyen un esfuerzo por debatir y educar sobre el poder y la simplicidad del lenguaje de consulta Kusto.
Invictus creó la formación Incident Response in the Microsoft Cloud, que cubre cómo realizar respuesta a incidentes en Microsoft Azure y Microsoft 365. Esto incluye conceptos básicos de KQL, pero también paquetes de consultas KQL y casos de uso más avanzados y consultas KQL para ataques en la nube.
Los datos se organizan en una jerarquía de bases de datos, tablas y columnas, de forma similar a SQL. Por ejemplo, la tabla DeviceNetworkEvents del esquema de búsqueda avanzada contiene información sobre conexiones de red y eventos relacionados.
where filtra según un predicado específico
DeviceNetworkEvents
| where LocalIP == "192.168.0.1"
DeviceNetworkEvents
| where DeviceName has "ComputerName"
Devuelve el desfase temporal relativo al momento en que se ejecuta la consulta
DeviceNetworkEvents
| where Timestamp > ago(1d)
Selecciona las columnas que se incluirán en el orden especificado
DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl
La búsqueda de amenazas debe ser un proceso continuo. Comenzamos en la parte superior de nuestro ciclo con nuestra Hipótesis. Nuestra Hipótesis nos ayuda a planificar qué vamos a buscar, lo que requiere que entendamos dónde vamos a buscar y cómo lo haremos. Esto significa que necesitamos comprender los datos que tenemos, las herramientas que tenemos, la experiencia que tenemos y cómo trabajar con ellos. El ciclo de búsqueda no se detiene cuando ejecutamos la búsqueda. Todavía hay varias fases que debemos llevar a cabo a lo largo del ciclo de vida, incluida la respuesta a anomalías. Incluso si no encontramos una amenaza activa, habrá actividades que realizar. Más.
El enfoque de la búsqueda tiene dos componentes: la caracterización de la actividad maliciosa y la ejecución de la búsqueda. Estos componentes deben ser actividades continuas, actualizadas continuamente en función de nueva información sobre los adversarios y el terreno. Más.