.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/logo/logo_w_text.png :width: 460 :alt: Lenguaje de Búsqueda de Amenazas Kestrel

|readthedocs| |pypi| |downloads| |codecoverage| |black|

|

Hunt with Native Query/Script (left) or Kestrel (right)?

*Una cacería de amenazas cibernéticas de extremo a extremo generalmente requiere ejecución a través de múltiples fuentes de datos/entornos más pasos de enriquecimiento/ML/visualización en cualquier punto del flujo de caza.

.. image:: https://raw.githubusercontent.com/opencybersecurityalliance/data-bucket-kestrel/main/images/kestrel2_example.png :alt: Ejemplo de Kestrel2

¿Qué es Kestrel?

Kestrel es un lenguaje de búsqueda de amenazas que busca hacer la caza de amenazas cibernéticas rápida al proporcionar una capa de abstracción para construir flujos de caza reutilizables, componibles y compartibles. Comenzando con:

#. Black Hat USA 2024 Kestrel hunting lab_ #. Black Hat USA 2022 Kestrel hunting lab_ #. Black Hat USA 2022 session recording_

Noticias

• Regístrate en Black Hat USA 2024_ para cazar con Kestrel
• Charla sobre Kestrel e IA en CNCF Secure AI Summit 2024_
• Aprende sobre despliegue escalable de Kestrel en Red Hat Research Quarterly_ (RHRQ)

Kestrel en pocas palabras

Los desarrolladores de software escriben Python o Swift en lugar de código máquina para convertir rápidamente la lógica de negocio en aplicaciones. Los cazadores de amenazas escriben Kestrel para convertir rápidamente hipótesis de amenazas en flujos de caza. Vemos la caza de amenazas como un procedimiento interactivo para crear sistemas de detección de intrusiones personalizados sobre la marcha, y el flujo de caza es para las cacerías lo que el flujo de control es para los programas ordinarios.

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/docs/images/overview.png :width: 100% :alt: Visión general de Kestrel.

• Lenguaje Kestrel: un lenguaje de búsqueda de amenazas para que un humano exprese qué buscar.

  • expresando el conocimiento de qué en patrones, análisis y flujos de caza.
  • componiendo flujos de caza reutilizables a partir de pasos de caza individuales.
  • razonando con una abstracción de representación de datos basada en entidades amigable para humanos.
  • pensando a través de fuentes heterogéneas de datos e inteligencia de amenazas.
  • aplicando lógica de detección pública y propietaria existente como pasos de caza analíticos.
  • reutilizando y compartiendo pasos de caza individuales, flujos de caza y libros de caza completos.

• Entorno de ejecución Kestrel: un intérprete de máquina que se ocupa de cómo buscar.

  • compilando el qué contra instrucciones específicas de la plataforma de caza.
  • ejecutando el código compilado local y remotamente.
  • ensamblando registros y logs en bruto en entidades para el razonamiento basado en entidades.
  • almacenando en caché datos intermedios y registros relacionados para una respuesta rápida.
  • precargando logs y registros relacionados para la construcción de enlaces entre entidades.
  • definiendo interfaces extensibles para fuentes de datos y ejecución de análisis.

Conceptos básicos y cómo hacerlo

Visita Kestrel documentation_ para aprender Kestrel:

• Aprende conceptos y sintaxis:

  • A comprehensive introduction to Kestrel_
  • The two key concepts of Kestrel_
  • Interactive tutorial with quiz_
  • Language reference book_

• Caza en tu entorno:

  • Kestrel runtime installation_
  • How to connect to your data sources_
  • How to execute an analytic hunt step in Python/Docker_
  • How to use Kestrel via API_
  • How to launch Kestrel as a Docker container_

Kestrel 2

Kestrel 2 debuta en Black Hat USA 2024_. Manteniendo la sintaxis del lenguaje de Kestrel 1, rediseñamos completamente el entorno de ejecución de Kestrel 2 para lograr un mejor rendimiento y una sintaxis más flexible con respecto a las representaciones de entidades, atributos y relaciones.

Características clave de Kestrel 2:

• Compilación justo a tiempo en lugar de interpretación

• Evaluación perezosa y el nuevo comando EXPLAIN

• Optimización de Data Lakehouse con consultas profundamente anidadas

• Soporte de entidades/atributos OCSF y OpenTelemetry además de STIX

Kestrel 2 se encuentra actualmente en beta, obtén más información en Kestrel runtime installation_.

Libros de caza y análisis de Kestrel

• Kestrel huntbook_: libros de caza de Kestrel contribuidos por la comunidad
• Kestrel analytics_: análisis de Kestrel contribuidos por la comunidad

Blogs de caza de Kestrel

#. Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks_ #. Practicing Backward And Forward Tracking Hunts on A Windows Host_ #. Building Your Own Kestrel Analytics and Sharing With the Community_ #. Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow_ #. Try Kestrel in a Cloud Sandbox_ #. Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator_ #. Kestrel Data Retrieval Explained_

Charlas y demostraciones

Resumen de charlas (visita Kestrel documentation on talks_ para conocer detalles):

• 2024/08 Black Hat USA 2024_
• 2024/06 CNCF Secure AI Summit 2024_
• 2023/08 Black Hat USA 2023_
• 2022/12 Infosec Jupyterthon 2022_ [IJ'22 live hunt recording_]
• 2022/08 Black Hat USA 2022_ [BH'22 recording_ | BH'22 hunting lab_]
• 2022/06 Cybersecurity Automation Workshop_
• 2022/04 SC eSummit on Threat Hunting & Offense Security_ (gratuito para registrarse/reproducción)
• 2021/12 Infosec Jupyterthon 2021_ [IJ'21 live hunt recording_]
• 2021/11 BlackHat Europe 2021_

Conectando con la comunidad

• Únete al canal de Slack de Kestrel:

  • Obtén una slack invitation_ para unirte al Open Cybersecurity Alliance workspace_

    .. image:: https://opencyberallia.wpengine.com/wp-content/uploads/2022/03/OCA-logo-e1646689234325.png :width: 20% :alt: Logo de OCA

  • Únete al canal kestrel para hacer preguntas y conectarte con otros cazadores

• Contribuye al desarrollo del lenguaje (Apache License 2.0_):

  • Crea un GitHub Issue_ para reportar errores y sugerir nuevas funcionalidades
  • Sigue la contributing guideline_ para enviar tu pull request
  • Consulta la governance documentation_ respecto a fusiones de PR, lanzamientos y divulgación de vulnerabilidades

• Comparte tus libros de caza y análisis:

  • Kestrel huntbook_
  • Kestrel analytics_

.. _Kestrel live tutorial in a cloud sandbox: https://mybinder.org/v2/gh/opencybersecurityalliance/kestrel-huntbook/HEAD?filepath=tutorial .. _Kestrel documentation: https://kestrel.readthedocs.io/

.. _A comprehensive introduction to Kestrel: https://kestrel.readthedocs.io/en/latest/overview/ .. _The two key concepts of Kestrel: https://kestrel.readthedocs.io/en/latest/language/tac.html#key-concepts .. _Interactive tutorial with quiz: https://mybinder.org/v2/gh/opencybersecurityalliance/kestrel-huntbook/HEAD?filepath=tutorial .. _Kestrel runtime installation: https://kestrel.readthedocs.io/en/latest/installation/runtime.html .. _How to connect to your data sources: https://kestrel.readthedocs.io/en/latest/installation/datasource.html .. _How to execute an analytic hunt step in Python/Docker: https://kestrel.readthedocs.io/en/latest/installation/analytics.html .. _Language reference book: https://kestrel.readthedocs.io/en/latest/language/commands.html .. _How to use Kestrel via API: https://kestrel.readthedocs.io/en/latest/source/kestrel.session.html .. _How to launch Kestrel as a Docker container: https://kestrel.readthedocs.io/en/latest/deployment/ .. _Kestrel documentation on talks: https://kestrel.readthedocs.io/en/latest/talks.html

.. _Kestrel huntbook: https://github.com/opencybersecurityalliance/kestrel-huntbook .. _Kestrel analytics: https://github.com/opencybersecurityalliance/kestrel-analytics

.. _Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks: https://opencybersecurityalliance.org/huntbook-persistent-threat-discovery-kestrel/ .. _Practicing Backward And Forward Tracking Hunts on A Windows Host: https://opencybersecurityalliance.org/backward-and-forward-tracking-hunts-on-a-windows-host/ .. _Building Your Own Kestrel Analytics and Sharing With the Community: https://opencybersecurityalliance.org/kestrel-custom-analytics/ .. _Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow: https://opencybersecurityalliance.org/kestrel-sysflow-open-hunting-stack/ .. _Try Kestrel in a Cloud Sandbox: https://opencybersecurityalliance.org/try-kestrel-in-a-cloud-sandbox/ .. _Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator: https://opencybersecurityalliance.org/fun-with-securitydatasets-com-and-the-kestrel-powershell-deobfuscator/ .. _Kestrel Data Retrieval Explained: https://opencybersecurityalliance.org/kestrel-data-retrieval-explained/

.. _RSA Conference 2021: https://www.rsaconference.com/Library/presentation/USA/2021/The%20Game%20of%20Cyber%20Threat%20Hunting%20The%20Return%20of%20the%20Fun .. _RSA'21 session recording: https://www.youtube.com/watch?v=-Xb086R0JTk .. _SANS Threat Hunting Summit 2021: https://www.sans.org/blog/a-visual-summary-of-sans-threat-hunting-summit-2021/ .. _SANS'21 session recording: https://www.youtube.com/watch?v=gyY5DAWLwT0 .. _BlackHat Europe 2021: https://www.blackhat.com/eu-21/arsenal/schedule/index.html#an-open-stack-for-threat-hunting-in-hybrid-cloud-with-connected-observability-25112 .. _Infosec Jupyterthon 2021: https://infosecjupyterthon.com/2021/agenda.html .. _IJ'21 live hunt recording: https://www.youtube.com/embed/nMnHBnYfIaI?start=20557&end=22695 .. _Infosec Jupyterthon 2022: https://infosecjupyterthon.com/2022/agenda.html .. _IJ'22 live hunt recording: https://www.youtube.com/embed/8Mw1yyYkeqM?start=23586&end=26545 .. _SC eSummit on Threat Hunting & Offense Security: https://www.scmagazine.com/esummit/automating-the-hunt-for-advanced-threats .. _Cybersecurity Automation Workshop: http://www.cybersecurityautomationworkshop.org/ .. _Black Hat USA 2024: https://www.blackhat.com/us-24/arsenal/schedule/index.html#kestrel--hunt-for-threats-across-security-data-lakes-39321 .. _Black Hat USA 2023: https://www.blackhat.com/us-23/arsenal/schedule/index.html#identity-threat-hunting-with-kestrel-33662 .. _Black Hat USA 2022: .. _BH'22 recording: .. _Black Hat USA 2022 session recording: .. _BH'22 hunting lab: .. _Black Hat USA 2022 Kestrel hunting lab: .. _Black Hat USA 2024 Kestrel hunting lab: .. _Red Hat Research Quarterly: .. _CNCF Secure AI Summit 2024:

.. _slack invitation: https://join.slack.com/t/open-cybersecurity/shared_invite/zt-19pliofsm-L7eSSB8yzABM2Pls1nS12w .. _Open Cybersecurity Alliance workspace: https://open-cybersecurity.slack.com/ .. _GitHub Issue: https://github.com/opencybersecurityalliance/kestrel-lang/issues .. _contributing guideline: CONTRIBUTING.rst .. _governance documentation: GOVERNANCE.rst .. _Apache License 2.0: LICENSE.md

.. |readthedocs| image:: https://readthedocs.org/projects/kestrel/badge/?version=latest :target: https://kestrel.readthedocs.io/en/latest/?badge=latest :alt: Documentation Status

.. |pypi| image:: https://img.shields.io/pypi/v/kestrel-jupyter :target: https://pypi.python.org/pypi/kestrel-jupyter :alt: Latest Version

.. |downloads| image:: https://img.shields.io/pypi/dm/kestrel-core :target: https://pypistats.org/packages/kestrel-core :alt: PyPI Downloads

.. |codecoverage| image:: https://codecov.io/gh/opencybersecurityalliance/kestrel-lang/branch/develop/graph/badge.svg?token=HM4ax10IW3 :target: https://codecov.io/gh/opencybersecurityalliance/kestrel-lang :alt: Code Coverage

.. |black| image:: https://img.shields.io/badge/code%20style-black-000000.svg :target: https://github.com/psf/black :alt: Code Style: Black