Awesome Détection et chasse aux menaces

Une liste organisée de ressources impressionnantes pour la détection et la chasse aux menaces

Sommaire

Détection et chasse aux menaces
- 🔨 Outils
- 🔍 Règles de détection
- 📑 Jeu de données
- 📘 Ressources
- 🎙️ Podcasts
- 🗞️ Newsletters
- 🎥 Vidéos
- 👩‍🎓 Formations
- 👩‍💻 Labs
- 🤖 Twitter
Simulation de menaces
- 🪓 Outils
- 📕 Ressources
Contribuer
Licence

Outils

NRD-db - Récupère et stocke automatiquement les domaines nouvellement enregistrés dans une base de données Redis.
MITRE ATT&CK Navigator (code source) - Le Navigateur ATT&CK est conçu pour fournir une navigation et une annotation de base des matrices ATT&CK, une chose que les gens font déjà aujourd'hui dans des outils comme Excel.
HELK - Un ELK de chasse (Elasticsearch, Logstash, Kibana) avec des capacités analytiques avancées.
DetectionLab - Scripts Vagrant et Packer pour construire un environnement de laboratoire complet avec des outils de sécurité et les bonnes pratiques de journalisation.
Revoke-Obfuscation - Framework de détection d'obfuscation PowerShell.
Invoke-ATTACKAPI - Un script PowerShell pour interagir avec le framework MITRE ATT&CK via sa propre API.
Unfetter - Une implémentation de référence fournit un framework pour collecter des événements (création de processus, connexions réseau, journaux d'événements Windows, etc.) depuis une machine cliente et effectuer des analyses CAR afin de détecter une activité adversaire potentielle.
Flare - Un framework analytique pour le trafic réseau et l'analyse comportementale.
RedHunt-OS - Une machine virtuelle pour l'émulation adverse et la chasse aux menaces. RedHunt vise à être un guichet unique pour tous vos besoins d'émulation de menaces et de chasse aux menaces en intégrant à la fois l'arsenal de l'attaquant et la boîte à outils du défenseur pour identifier activement les menaces dans votre environnement.
Oriana - Outil de mouvement latéral et de chasse aux menaces pour environnements Windows construit avec Django, prêt pour Docker.
Bro-Osquery - Intégration de Bro avec osquery
Brosquery - Un module pour osquery afin de charger les journaux Bro dans des tables

Plateformes de détection, d'alertes et d'automatisation

Consultez le dépôt Detection and Response Pipeline pour plus de ressources. Le dépôt contient une compilation d'outils/services suggérés pour chaque composant d'un pipeline de détection et de réponse, ainsi que des exemples concrets. L'objectif est de créer un hub de référence pour concevoir des pipelines efficaces de détection et de réponse aux menaces.

ElastAlert - Un framework pour alerter sur les anomalies, pics ou autres motifs intéressants à partir des données dans Elasticsearch
StreamAlert - Un framework d'analyse de données serverless et en temps réel qui vous permet d'ingérer, d'analyser et d'alerter sur des données provenant de n'importe quel environnement, en utilisant les sources de données et la logique d'alerte que vous définissez
Matano - Une plateforme open source de lac de sécurité (alternative SIEM) pour la chasse aux menaces, la détection et la réponse sur AWS. Matano vous permet d'écrire des détections avancées en tant que code (en utilisant Python) pour corréler et alerter sur les menaces en temps réel.
Shuffle - Une plateforme d'automatisation de la sécurité à usage général.
Sublime - Une plateforme ouverte pour la détection, la réponse et la chasse aux menaces dans les environnements de messagerie. Sublime vous permet d'écrire des détections avancées en tant que code pour alerter et remédier en temps réel aux menaces telles que le phishing.
Substation - Une boîte à outils de pipeline de données et de transformation cloud native pour les équipes de sécurité.

Surveillance des endpoints

osquery (github) - Instrumentation, surveillance et analyse du système d'exploitation propulsées par SQL
Kolide Fleet - Un serveur de contrôle flexible pour les flottes osquery
Zeek Agent - Un agent de surveillance des endpoints qui fournit l'activité de l'hôte à Zeek
Velociraptor - Outil de visibilité et de collecte sur les endpoints
Sysdig - Un outil pour une visibilité approfondie du système Linux, avec prise en charge native des conteneurs. Considérez sysdig comme strace + tcpdump + htop + iftop + lsof + ... de la sauce géniale
go-audit - Une alternative au démon auditd de Linux
Sysmon - Un service système Windows et un pilote de périphérique qui surveille et journalise l'activité du système dans le journal d'événements Windows
Sysmon for Linux
OSSEC - Un système de détection d'intrusion basé sur l'hôte (HIDS) open-source
WAZUH - Une plateforme de sécurité open-source

Configuration

sysmon-DFIR - Sources, configuration et comment détecter les choses malveillantes avec Microsoft Sysmon.
sysmon-config - Modèle de fichier de configuration Sysmon avec traçage d'événements de haute qualité par défaut.
sysmon-modular - Un dépôt de modules de configuration sysmon. Il inclut également un mappage des configurations Sysmon vers les techniques MITRE ATT&CK.
auditd configuration
osquery-configuration - Un dépôt pour utiliser osquery pour la détection et la réponse aux incidents.

Surveillance du réseau

Zeek (anciennement Bro) - Un outil de surveillance de la sécurité réseau
ntopng - Un outil de surveillance du trafic réseau basé sur le web
Suricata - Un moteur de détection de menaces réseau
Snort (github) - Un outil de détection d'intrusion réseau
Joy - Un ensemble pour capturer et analyser les données de flux réseau et de sous-flux, pour la recherche réseau, la criminalistique et la surveillance de la sécurité
Netcap - Un framework pour une analyse sécurisée et évolutive du trafic réseau
Arkime) - Un outil open-source de capture et de recherche complète de paquets à grande échelle
Stenographer - Un outil de capture complète de paquets

Outils de fingerprinting

JA3 - Une méthode pour profiler les clients et serveurs SSL/TLS
HASSH - Méthode de profilage pour les clients et serveurs SSH
RDFP - Script Zeek d'empreinte de bureau à distance basé sur FATT (Fingerprint All The Things)
FATT - Un script basé sur pyshark pour extraire les métadonnées réseau et les empreintes à partir de fichiers pcap et du trafic réseau en direct
FingerprinTLS - Une méthode d'empreinte TLS
Mercury - Empreinte réseau et capture de métadonnées de paquets
GQUIC Protocol Analyzer for Zeek
Recog - Un framework pour identifier des produits, services, systèmes d'exploitation et matériels en comparant des empreintes aux données renvoyées par diverses sondes réseau
Hfinger - Empreinte des requêtes HTTP
JARM - Un outil actif d'empreinte de serveur Transport Layer Security (TLS).

Surveillance des e-mails

Sublime Platform - Un moteur de détection de menaces par e-mail

Règles de détection

Sigma - Format de signature générique pour les systèmes SIEM
Splunk Detections et Histoires analytiques
Elastic Detection Rules
MITRE CAR - Le Cyber Analytics Repository est une base de connaissances d'analyses développée par MITRE, basée sur le modèle adverse Adversary Tactics, Techniques, and Common Knowledge (ATT&CK™).
Awesome YARA Rules
Chronicle Detection Rules - Collection d'exemples de règles YARA-L 2.0 pour l'API Chronicle Detection.
GCP Security Analytics - Community Security Analytics fournit un ensemble de requêtes d'audit et de menaces pilotées par la communauté pour Google Cloud.
ThreatHunter-Playbook - Un projet open-source piloté par la communauté pour partager la logique de détection, les techniques adverses et des ressources afin de rendre le développement de détections plus efficace.
Sublime Detection Rules - Règles de détection, de réponse et de chasse aux attaques par e-mail.

Jeu de données

Mordor - Événements de sécurité préenregistrés générés par des techniques adverses simulées sous forme de fichiers JavaScript Object Notation (JSON). Les données sont catégorisées par plateformes, groupes adverses, tactiques et techniques définis par le framework Mitre ATT&CK.
SecRepo.com (dépôt github) - Échantillons de données liées à la sécurité.
Boss of the SOC (BOTS) Dataset Version 1
Boss of the SOC (BOTS) Dataset Version 2
Boss of the SOC (BOTS) Dataset Version 3
EMBER (article) - Le jeu de données EMBER est une collection de caractéristiques de fichiers PE qui sert de jeu de données de référence pour les chercheurs
theZoo - Un dépôt de malwares LIVE
CIC Datasets - Jeux de données de l'Institut canadien pour la cybersécurité
Netresec's PCAP repo list - Une liste de dépôts publics de captures de paquets, librement disponibles sur Internet.
PCAP-ATTACK - Un dépôt d'échantillons PCAP pour différentes techniques ATT&CK.
EVTX-ATTACK-SAMPLES - Un dépôt d'échantillons d'événements Windows (EVTX) associés aux techniques ATT&CK (Feuille EVTX-ATT&CK).
Public Security Log Sharing Site
attack_data - Un dépôt de jeux de données organisés provenant de diverses attaques.

Ressources- Huntpedia - Votre recueil de connaissances sur la chasse aux menaces

Hunt Evil - Votre guide pratique de la chasse aux menaces
The Hunter's Handbook - Le guide d'Endgame pour la chasse aux adversaires
ThreatHunter-Playbook - Un playbook pour chasseurs de menaces afin d'aider au développement de techniques et d'hypothèses pour les campagnes de chasse.
The ThreatHunting Project - Une excellente collection de chasses et de ressources sur la chasse aux menaces.
CyberThreatHunting - Une collection de ressources pour les chasseurs de menaces.
Hunt-Detect-Prevent - Des listes de sources et d'utilitaires pour chasser, détecter et prévenir les malfaisants.
Alerting and Detection Strategy Framework
Générer des hypothèses pour une chasse aux menaces réussie
Guide d'investigation expert - Chasse aux menaces
Chasse aux menaces dans Active Directory
Chasse aux menaces pour les malwares sans fichier
Commandes Windows abusées par les attaquants
Deception-as-Detection - Des techniques de détection basées sur la tromperie, mappées sur le framework MITRE ATT&CK.
On TTPs

Frameworks

MITRE ATT&CK - Une base de connaissances organisée et un modèle du comportement des cyber-adversaires, reflétant les différentes phases du cycle de vie d’un adversaire et les plateformes qu’il est connu pour cibler.
Alerting and Detection Strategies Framework - Un framework pour développer des stratégies d'alerte et de détection.
Un modèle simple de maturité en matière de chasse - Le modèle de maturité de la chasse décrit cinq niveaux de capacité organisationnelle en matière de chasse, allant de HMM0 (la capacité la plus faible) à HMM4 (la plus élevée).
La pyramide de la douleur - La relation entre les types d'indicateurs que vous pourriez utiliser pour détecter les activités d'un adversaire et la douleur que cela lui infligera lorsque vous parviendrez à lui refuser ces indicateurs.
Un framework pour la chasse aux menaces
The PARIS Model - Un modèle pour la chasse aux menaces.
Cyber Kill Chain - Il fait partie du modèle Intelligence Driven Defense® pour l'identification et la prévention des activités d'intrusion cybernétique. Le modèle identifie ce que les adversaires doivent accomplir pour atteindre leur objectif.
The DML Model - Le modèle Detection Maturity Level (DML) est un modèle de maturité des capacités permettant de situer sa maturité dans la détection des cyberattaques.
NIST Cybersecurity Framework
OSSEM (Open Source Security Events Metadata) - Un projet mené par la communauté qui se concentre sur la documentation et la normalisation des journaux d'événements de sécurité provenant de diverses sources de données et systèmes d'exploitation.
Open Cybersecurity Schema Framework (OCSF) - Un framework pour créer des schémas, qui fournit également un schéma d'événements de cybersécurité construit avec ce framework ().

Data Science

data_hacking - Exemples d'utilisation d'IPython, Pandas et Scikit Learn pour tirer le meilleur parti de vos données de sécurité.
Rétro-ingénierie de l'analyste : construire des modèles de machine learning pour le SOC
msticpy - Une bibliothèque pour l'investigation et la chasse en sécurité informatique dans les notebooks Jupyter.

Research Papers

Défense des réseaux informatiques axée sur le renseignement, éclairée par l'analyse des campagnes adverses et des chaînes d'élimination des intrusions
Le modèle diamant de l'analyse d'intrusion
EXPOSURE : trouver les domaines malveillants à l'aide de l'analyse DNS passive
Une approche globale de la corrélation des alertes de détection d'intrusion (Article, Thèse)
Sur les botnets qui utilisent le DNS pour le commandement et le contrôle
Émulation intelligente et automatisée de Red Team
Apprentissage automatique pour la classification du trafic de malwares chiffré

Blogs

Podcasts- Google Cloud Security Podcast par Anton Chuvakin et Timothy Peacock.

Detection: Challenging Paradigms par SpecterOps
Darknet Diaries par Andy Greenberg - De vraies histoires du côté obscur d'Internet.
Risky Business par Patrick Gray

Newsletters

Detection Engineering Weekly par Zack 'techy' Allen
This Week in 4n6 - Un récapitulatif hebdomadaire des actualités de la criminalistique numérique et de la réponse aux incidents.

Vidéos

Formations

Applied Network Defense cours par Chris Sanders
- Théorie de l'investigation, threat hunting pratique, ingénierie de détection avec Sigma, etc.
Security Blue Team (certificats BTL1 et BTL2)
LetsDefend - Formation pratique d'analyste SOC
TryHackMe - Formation pratique en cybersécurité à travers des scénarios réels.
13Cubed, Investigation des endpoints Windows par Richard Davis
HackTheBox - Bien que n'étant pas directement lié à la détection des menaces, le site propose des modules de formation sur des sujets généraux de sécurité et des sujets offensifs qui peuvent être bénéfiques pour les analystes SOC juniors.

Laboratoires

DetectionLab - Scripts Vagrant et Packer pour construire un environnement de laboratoire complet avec des outils de sécurité et des bonnes pratiques de journalisation.
Splunk Boss of the SOC - Ateliers pratiques et défis pour s'entraîner au threat hunting à l'aide des jeux de données BOTS et autres.
HELK - Un ELK de chasse (Elasticsearch, Logstash, Kibana) avec des capacités analytiques avancées.
BlueTeam Lab - Un laboratoire de détection créé avec Terraform et Ansible dans Azure.
attack_range - Un outil qui vous permet de créer des environnements locaux ou cloud vulnérables et instrumentés pour simuler des attaques et collecter les données dans Splunk.

Twitter

Liste Twitter « Awesome Detection » - Comptes Twitter qui tweetent à propos de la détection des menaces, du hunting et de la DFIR.

Outils de simulation de menaces

MITRE CALDERA - Un système automatisé d'émulation d'adversaires qui exécute des comportements adverses post-compromission dans les réseaux d'entreprise Windows.
APTSimulator - Un script Batch Windows qui utilise un ensemble d'outils et de fichiers de sortie pour faire paraître un système comme s'il avait été compromis.
Atomic Red Team - Des tests de détection petits et hautement portables, mappés sur le framework Mitre ATT&CK.
Network Flight Simulator - flightsim est un utilitaire léger utilisé pour générer du trafic réseau malveillant et aider les équipes de sécurité à évaluer les contrôles de sécurité et la visibilité réseau.
Metta - Un outil de préparation à la sécurité pour effectuer des simulations d'adversaires.
Red Team Automation (RTA) - RTA fournit un cadre de scripts conçu pour permettre aux équipes bleues de tester leurs capacités de détection face à des techniques malveillantes, modélisées d'après MITRE ATT&CK.
SharpShooter - Framework de génération de charges utiles.
CACTUSTORCH - Génération de charges utiles pour les simulations d'adversaires.
DumpsterFire - Un outil modulaire, piloté par menu et multiplateforme pour créer des événements de sécurité répétables, différés dans le temps et distribués.
Empire(site web) - Un agent de post-exploitation en PowerShell et Python.
PowerSploit - Un framework de post-exploitation PowerShell.
RedHunt-OS - Une machine virtuelle pour l'émulation d'adversaires et le threat hunting. RedHunt vise à être un guichet unique pour tous vos besoins d'émulation de menaces et de threat hunting en intégrant l'arsenal de l'attaquant ainsi que la boîte à outils du défenseur pour identifier activement les menaces dans votre environnement.

Ressources sur la simulation de menaces

Plans d'émulation d'adversaires de MITRE
Awesome Red Teaming - Une liste de ressources impressionnantes sur le red teaming
Red-Team Infrastructure Wiki - Wiki pour collecter des ressources de durcissement d'infrastructure Red Team.
Génération de charges utiles avec SharpShooter
Blog SpecterOps
- Threat Hunting
Advanced Threat Tactics - Un cours gratuit sur les opérations red team et les simulations d'adversaires.
Signal the ATT&CK : Partie 1 - Modélisation d'APT32 dans CALDERA
Red Teaming/Adversary Simulation Toolkit - Une collection d'outils open source et commerciaux qui aident dans les opérations red team.
C2 Matrix (Google Sheets)
adversary_emulation_library - Une bibliothèque ouverte de plans d'émulation d'adversaires conçus pour permettre aux organisations de tester leurs défenses sur la base de TTP réels.

Contribuer

Contributions bienvenues ! Lisez d'abord les consignes de contribution.

Licence

Dans la mesure permise par la loi, Adel "0x4D31" Karimi a renoncé à tous les droits d'auteur et aux droits voisins ou connexes sur cette œuvre.

Populaires

awesome-threat-detection