ThreatHunting | Una aplicación de Splunk mapeada a MITRE ATT&CK para guiar tus búsquedas de amenazas

Esta es una aplicación de Splunk que contiene varios paneles y más de 130 informes que facilitarán indicadores iniciales de caza para investigar.

Obviamente necesitas estar ingiriendo datos de Sysmon en Splunk; una buena configuración se puede encontrar aquí

Nota: Esta aplicación no es una bala de plata; requerirá ajustes y un trabajo de investigación real para ser verdaderamente efectiva en tu entorno. Intenta convertirte en el mejor amigo de tus administradores de sistemas. Ellos podrán explicar muchos de los indicadores descubiertos inicialmente.

Un gran reconocimiento para MITRE por crear el marco ATT&CK.

¡Las solicitudes de extracción, tickets de incidencias y nuevas incorporaciones serán muy apreciadas!

Mitre ATT&CK

Me esfuerzo por mapear todas las búsquedas al marco ATT&CK. Una exportación actual del navegador ATT&CK de todas las configuraciones vinculadas se encuentra aquí y se puede ver aquí

Acciones requeridas después de la implementación

• Sigue todos los pasos en la página Acerca de la aplicación, asegúrate de que se cumplan todos los requisitos.
• Asegúrate de que el índice threathunting esté presente en tus indexadores.
• Edita las macros para que se adapten a tu entorno > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (asegúrate de que el sourcetype sea correcto)
• La aplicación se envía sin archivos de búsqueda de listas blancas; deberás crearlos tú mismo. Esto es para que no los sobrescribas accidentalmente al actualizar la aplicación.
• Instala los csv de búsqueda o créalos tú mismo; los csv vacíos están aquí

Una guía paso a paso escrita amablemente por Kirtar Oza se puede encontrar aquí

Uso

Una explicación más detallada de todas las funciones se puede encontrar aquí o en esta publicación de blog