keyboardcrunch/sentinelone-attack-queriesRequêtes mappées MITRE ATT&CK pour SentinelOne Deep Visiblity
MITRE ATT&CK requêtes mappées pour SentinelOne Deep Visiblity
Ce projet a été remplacé par le dépôt SentinelOne-Queries qui évolue vers des signatures partageables et une utilisation dans des outils. Le nouveau dépôt est construit à partir du travail de ce dépôt et la plupart des tests sont toujours effectués avec Atomic Red Team. Ces requêtes ne seront pas mises à jour car les détections changent entre les versions de l'Agent, etc.
Ce projet vise à documenter les requêtes SentinelOne Deep Visibility pour détecter les TTP Windows générés par le framework Atomic Red Team de Red Canary Co. Toutes les techniques documentées dans le projet Atomic Red Team n'auront pas de requêtes correspondantes; en raison des sources de données limitées dans SentinelOne, certaines détections seront limitées; nous finirons par dépasser A.R.T. et appellerons simplement ces requêtes des requêtes mappées ATT&CK, mais j'aime l'idée d'avoir un framework pour tester ces détections.
Ces requêtes ont été conçues et testées sur la version Liberty de la console et devraient prendre en charge Deep Visibility 3.0. Il est recommandé que vos agents Sentinel soient en 4.2.x ou plus récent, car certaines des données d'indicateurs interrogées ne sont collectées que par les agents plus récents.
