Awesome Détection et chasse aux menaces
Une liste organisée de ressources impressionnantes pour la détection et la chasse aux menaces
Sommaire
Outils
- NRD-db - Récupère et stocke automatiquement les domaines nouvellement enregistrés dans une base de données Redis.
- MITRE ATT&CK Navigator (code source) - Le Navigateur ATT&CK est conçu pour fournir une navigation et une annotation de base des matrices ATT&CK, une chose que les gens font déjà aujourd'hui dans des outils comme Excel.
- HELK - Un ELK de chasse (Elasticsearch, Logstash, Kibana) avec des capacités analytiques avancées.
- DetectionLab - Scripts Vagrant et Packer pour construire un environnement de laboratoire complet avec des outils de sécurité et les bonnes pratiques de journalisation.
- Revoke-Obfuscation - Framework de détection d'obfuscation PowerShell.
- Invoke-ATTACKAPI - Un script PowerShell pour interagir avec le framework MITRE ATT&CK via sa propre API.
- Unfetter - Une implémentation de référence fournit un framework pour collecter des événements (création de processus, connexions réseau, journaux d'événements Windows, etc.) depuis une machine cliente et effectuer des analyses CAR afin de détecter une activité adversaire potentielle.
- Flare - Un framework analytique pour le trafic réseau et l'analyse comportementale.
- RedHunt-OS - Une machine virtuelle pour l'émulation adverse et la chasse aux menaces. RedHunt vise à être un guichet unique pour tous vos besoins d'émulation de menaces et de chasse aux menaces en intégrant à la fois l'arsenal de l'attaquant et la boîte à outils du défenseur pour identifier activement les menaces dans votre environnement.
- Oriana - Outil de mouvement latéral et de chasse aux menaces pour environnements Windows construit avec Django, prêt pour Docker.
- Bro-Osquery - Intégration de Bro avec osquery
- Brosquery - Un module pour osquery afin de charger les journaux Bro dans des tables
- DeepBlueCLI - Un module PowerShell pour le Hunt Teaming via les journaux d'événements Windows
- Uncoder - Un traducteur en ligne pour les recherches enregistrées, filtres, requêtes, requêtes API, corrélations et règles Sigma SIEM
- CimSweep - Une suite d'outils basés sur CIM/WMI permettant d'effectuer des opérations de réponse aux incidents et de chasse à distance sur toutes les versions de Windows
- Dispatch - Un framework open-source d'orchestration de gestion de crise
- EQL - Langage de requête d'événements
- EQLLib - La bibliothèque d'analyses du langage de requête d'événements (eqllib) est une bibliothèque d'analyses basées sur les événements, écrite en EQL pour détecter les comportements adverses identifiés dans MITRE ATT&CK™.
- BZAR (Bro/Zeek ATT&CK-based Analytics and Reporting) - Un ensemble de scripts Zeek pour détecter les techniques ATT&CK
- Security Onion - Une distribution Linux open-source pour la chasse aux menaces, la surveillance de la sécurité et la gestion des journaux. Elle inclut ELK, Snort, Suricata, Zeek, Wazuh, Sguil et de nombreux autres outils de sécurité
- Varna - Une surveillance AWS CloudTrail rapide et économique avec Event Query Language (EQL)
- BinaryAlert - Détection de malwares serverless, en temps réel et rétroactive
- hollows_hunter - Analyse tous les processus en cours, reconnaît et extrait une variété d'implants potentiellement malveillants (PE remplacés/implantés, shellcodes, hooks, correctifs en mémoire).
- ThreatHunting - Une application Splunk mappée sur MITRE ATT&CK pour guider vos chasses aux menaces
- Sentinel Attack - Un dépôt d'alertes Azure Sentinel et de requêtes de chasse exploitant sysmon et le framework MITRE ATT&CK
- Brim - Une application de bureau pour rechercher efficacement dans de grandes captures de paquets et les journaux Zeek
- Capa - Un outil open-source pour identifier les capacités dans les fichiers exécutables.
- certgrep - Un outil rapide de recherche de domaines par regex dans les journaux de transparence des certificats.
- Have I Been Squatted - Un outil rapide de détection de typosquatting de domaines.
- Intel Owl - Une solution Open Source Intelligence, ou OSINT, pour obtenir des données de renseignement sur les menaces concernant un fichier spécifique, une IP ou un domaine à partir d'une seule API à grande échelle.
- YARA - Le couteau suisse de la correspondance de motifs
- Splunk Security Content - Contenu de détection organisé par Splunk, facilement utilisable dans de nombreux SIEM (voir Uncoder Rule Converter).
- Threat Bus - Couche de diffusion des renseignements sur les menaces pour connecter les outils de sécurité via un courtier de messages distribué de type publication/abonnement.
- VAST - Un moteur de télémétrie réseau pour les enquêtes de sécurité pilotées par les données.
- zeek2es - Un outil open source pour convertir les journaux Zeek vers Elastic/OpenSearch. Vous pouvez également produire du JSON pur à partir des journaux TSV de Zeek !
- LogSlash - Une norme pour réduire le volume des journaux sans sacrifier la capacité analytique.
0x4d31/awesome-threat-detection
