cyb3rmik3/kql-threat-hunting-queriesUn dépôt de requêtes KQL axées sur la chasse aux menaces et la détection des menaces pour Microsoft Sentinel et Microsoft XDR (anciennement Microsoft 365 Defender).
_ _____ _ _____ _ _ ____ _____ _ _____ _ _ _ _ _ _ _____ ___ _ _ ____
| |/ / _ \| | |_ _| | | | _ \| ____| / \|_ _| | | | | | | | \ | |_ _|_ _| \ | |/ ___|
| ' | | | | | | | | |_| | |_) | _| / _ \ | | | |_| | | | | \| | | | | || \| | | _
| . | |_| | |___ | | | _ | _ <| |___ / ___ \| | | _ | |_| | |\ | | | | || |\ | |_| |
|_|\_\__\_|_____| |_| |_| |_|_| \_|_____/_/ \_|_| |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
[!NOTE]
27 janvier : après presque un an de contributions, ce dépôt fait l'objet d'une refonte majeure afin de s'adapter au paysage actuel de la communauté et aussi, à une bien meilleure contextualisation afin de continuer à contribuer.
Ce dépôt est un effort visant à fournir des requêtes de détection et de chasse (et plus encore) prêtes à l'emploi afin d'aider les analystes et les threat hunters à exploiter la puissance de KQL dans Microsoft Sentinel et Microsoft Defender XDR.
Veuillez :
Bonne lecture, et n'hésitez pas à me contacter pour toute préoccupation et suggestion : cyb3rmik3.
Si Microsoft Sentinel et Microsoft 365 Defender sont vos outils quotidiens, vous devriez envisager de suivre le cours Microsoft Certified Security Operations Analyst (code d'examen SC-200). Vous vous familiariserez avec la large gamme de produits de sécurité de Microsoft et avec la manière de les utiliser pour fournir des données, des signaux de sécurité et analyser les alertes et incidents.
Cela étant dit, vous pouvez vous lancer dans les cours de Microsoft axés sur KQL :
La formation d'expert en chasse avancée de Microsoft Defender XDR fournit un guide complet aux analystes de sécurité et aux threat hunters pour améliorer leurs compétences en chasse avancée. La formation est dispensée sous la forme d'une série de webémissions intitulées « Tracking the Adversary » et « L33TSP3AK ».
Mehmet Ergene (alias cyb3rmonk) a fondé la blu raven academy où il propose les formations KQL suivantes, incluant une expérience pratique dans un environnement de laboratoire hyper-réaliste.
Rod Trent a créé la série MustLearnKQL, un ensemble d'articles de blog et de vidéos YouTube visant à présenter et à enseigner la puissance et la simplicité du Kusto Query Language.
Invictus a créé la formation Incident Response in the Microsoft Cloud qui couvre la manière de mener une réponse à incident dans Microsoft Azure et Microsoft 365. Cela inclut les bases de KQL, mais aussi les querypacks KQL et des cas d'usage plus avancés ainsi que des requêtes KQL pour les attaques cloud.
Les données sont organisées selon une hiérarchie de bases de données, de tables et de colonnes, similaire à SQL. Par exemple, la table DeviceNetworkEvents du schéma advanced hunting contient des informations sur les connexions réseau et les événements associés.
where filtre selon un prédicat spécifique
DeviceNetworkEvents
| where LocalIP == "192.168.0.1"
DeviceNetworkEvents
| where DeviceName has "ComputerName"
Renvoie le décalage temporel par rapport au moment où la requête s'exécute
DeviceNetworkEvents
| where Timestamp > ago(1d)
Sélectionne les colonnes à inclure dans l'ordre spécifié
DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl
Le threat hunting doit être un processus continu. Nous commençons au sommet de notre cycle avec notre hypothèse. Notre hypothèse nous aide à planifier ce que nous allons chasser, ce qui nous oblige à comprendre où nous allons chasser et comment nous allons procéder. Cela signifie que nous devons comprendre les données dont nous disposons, les outils dont nous disposons, l'expertise dont nous disposons et comment travailler avec eux. Le cycle de chasse ne s'arrête pas lorsque nous exécutons la chasse. Il reste encore plusieurs phases à mener tout au long du cycle de vie, notamment la réponse aux anomalies. Même si nous ne trouvons pas de menace active, il y aura des activités à réaliser. Plus.
L'approche de la chasse comporte deux composantes : la caractérisation de l'activité malveillante et l'exécution de la chasse. Ces composantes doivent être des activités permanentes, continuellement mises à jour en fonction des nouvelles informations sur les adversaires et le terrain. Plus.