Actualités

• Inscrivez-vous à Black Hat USA 2024_ pour chasser avec Kestrel
• Présentation sur Kestrel et l'IA au CNCF Secure AI Summit 2024_
• Apprenez le déploiement scalable de Kestrel dans Red Hat Research Quarterly_ (RHRQ)

Kestrel en bref

Les développeurs de logiciels écrivent du Python ou du Swift plutôt que du code machine pour transformer rapidement la logique métier en applications. Les chasseurs de menaces écrivent Kestrel pour transformer rapidement des hypothèses de menaces en flux de chasse. Nous considérons la chasse aux menaces comme une procédure interactive pour créer des systèmes de détection d'intrusion personnalisés à la volée, et le flux de chasse est à la chasse ce que le flux de contrôle est aux programmes ordinaires.

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/docs/images/overview.png :width: 100% :alt: Aperçu de Kestrel.

• Langage Kestrel : un langage de chasse aux menaces permettant à un humain d'exprimer quoi chasser.

  • exprimer la connaissance du quoi dans des motifs, des analyses et des flux de chasse.
  • composer des flux de chasse réutilisables à partir d'étapes de chasse individuelles.
  • raisonner avec une abstraction de représentation de données basée sur des entités conviviale pour l'humain.
  • penser à travers des sources de données hétérogènes et de renseignement sur les menaces.
  • appliquer la logique de détection publique et propriétaire existante comme étapes de chasse analytiques.
  • réutiliser et partager des étapes de chasse individuelles, des flux de chasse et des cahiers de chasse entiers.

• Runtime Kestrel : un interpréteur machine qui s'occupe du comment chasser.

  • compiler le quoi par rapport à des instructions spécifiques de la plateforme de chasse.
  • exécuter le code compilé localement et à distance.
  • assembler des journaux et enregistrements bruts en entités pour un raisonnement basé sur les entités.
  • mettre en cache les données intermédiaires et les enregistrements associés pour une réponse rapide.
  • précharger les journaux et enregistrements associés pour la construction de liens entre entités.
  • définir des interfaces extensibles pour les sources de données et l'exécution d'analyses.

Concepts de base et mode d'emploi

Visitez Kestrel documentation_ pour apprendre Kestrel :

• Apprenez les concepts et la syntaxe :

  • A comprehensive introduction to Kestrel_
  • The two key concepts of Kestrel_
  • Interactive tutorial with quiz_
  • Language reference book_

• Chassez dans votre environnement :

  • Kestrel runtime installation_
  • How to connect to your data sources_
  • How to execute an analytic hunt step in Python/Docker_
  • How to use Kestrel via API_
  • How to launch Kestrel as a Docker container_

Kestrel 2

Kestrel 2 fait ses débuts au Black Hat USA 2024_. Tout en maintenant la syntaxe du langage de Kestrel 1, nous avons entièrement repensé le runtime de Kestrel 2 pour obtenir de meilleures performances et une syntaxe plus flexible concernant les représentations des entités, attributs et relations.

Fonctionnalités clés de Kestrel 2 :

• Compilation à la volée au lieu d'interprétation
• Évaluation paresseuse et nouvelle commande EXPLAIN
• Optimisation Data Lakehouse avec requête profondément imbriquée
• Support des entités/attributs OCSF et OpenTelemetry en plus de STIX

Kestrel 2 est actuellement en bêta, apprenez-en plus sur Kestrel runtime installation_.

Cahiers de chasse et analyses Kestrel

• Kestrel huntbook_ : cahiers de chasse Kestrel contribués par la communauté
• Kestrel analytics_ : analyses Kestrel contribuées par la communauté

Blogs de chasse Kestrel

#. Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks_ #. Practicing Backward And Forward Tracking Hunts on A Windows Host_ #. Building Your Own Kestrel Analytics and Sharing With the Community_ #. Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow_ #. Try Kestrel in a Cloud Sandbox_ #. Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator_ #. Kestrel Data Retrieval Explained_

Conférences et démos

Résumé des présentations (visitez Kestrel documentation on talks_ pour en savoir plus) :

• 2024/08 Black Hat USA 2024_
• 2024/06 CNCF Secure AI Summit 2024_
• 2023/08 Black Hat USA 2023_
• 2022/12 Infosec Jupyterthon 2022_ [IJ'22 live hunt recording_]
• 2022/08 Black Hat USA 2022_ [BH'22 recording_ | BH'22 hunting lab_]
• 2022/06 Cybersecurity Automation Workshop_
• 2022/04 SC eSummit on Threat Hunting & Offense Security_ (inscription/lecture gratuite)
• 2021/12 Infosec Jupyterthon 2021_ [IJ'21 live hunt recording_]
• 2021/11 BlackHat Europe 2021_
• 2021/10 SANS Threat Hunting Summit 2021_ : [SANS'21 session recording_]
• 2021/05 RSA Conference 2021_ : [RSA'21 session recording_]

Se connecter avec la communauté

• Rejoignez le canal Slack Kestrel :

  • Obtenez une slack invitation_ pour rejoindre l'Open Cybersecurity Alliance workspace_

    .. image:: https://opencyberallia.wpengine.com/wp-content/uploads/2022/03/OCA-logo-e1646689234325.png :width: 20% :alt: Logo OCA

  • Rejoignez le canal kestrel pour poser des questions et entrer en contact avec d'autres chasseurs

• Contribuez au développement du langage (Apache License 2.0_) :

  • Créez une GitHub Issue_ pour signaler des bogues et suggérer de nouvelles fonctionnalités
  • Suivez la contributing guideline_ pour soumettre votre pull request
  • Référez-vous à la governance documentation_ concernant la fusion de PR, la publication et la divulgation de vulnérabilités

• Partagez votre cahier de chasse et vos analyses :

  • Kestrel huntbook_
  • Kestrel analytics_

.. _Kestrel live tutorial in a cloud sandbox: https://mybinder.org/v2/gh/opencybersecurityalliance/kestrel-huntbook/HEAD?filepath=tutorial .. _Kestrel documentation: https://kestrel.readthedocs.io/

.. _A comprehensive introduction to Kestrel: https://kestrel.readthedocs.io/en/latest/overview/ .. _The two key concepts of Kestrel: https://kestrel.readthedocs.io/en/latest/language/tac.html#key-concepts .. _Interactive tutorial with quiz: https://mybinder.org/v2/gh/opencybersecurityalliance/kestrel-huntbook/HEAD?filepath=tutorial .. _Kestrel runtime installation: https://kestrel.readthedocs.io/en/latest/installation/runtime.html .. _How to connect to your data sources: https://kestrel.readthedocs.io/en/latest/installation/datasource.html .. _How to execute an analytic hunt step in Python/Docker: https://kestrel.readthedocs.io/en/latest/installation/analytics.html .. _Language reference book: https://kestrel.readthedocs.io/en/latest/language/commands.html .. _How to use Kestrel via API: https://kestrel.readthedocs.io/en/latest/source/kestrel.session.html .. _How to launch Kestrel as a Docker container: https://kestrel.readthedocs.io/en/latest/deployment/ .. _Kestrel documentation on talks: https://kestrel.readthedocs.io/en/latest/talks.html

.. _Kestrel huntbook: https://github.com/opencybersecurityalliance/kestrel-huntbook .. _Kestrel analytics: https://github.com/opencybersecurityalliance/kestrel-analytics

.. _Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks: https://opencybersecurityalliance.org/huntbook-persistent-threat-discovery-kestrel/ .. _Practicing Backward And Forward Tracking Hunts on A Windows Host: https://opencybersecurityalliance.org/backward-and-forward-tracking-hunts-on-a-windows-host/ .. _Building Your Own Kestrel Analytics and Sharing With the Community: https://opencybersecurityalliance.org/kestrel-custom-analytics/ .. _Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow: https://opencybersecurityalliance.org/kestrel-sysflow-open-hunting-stack/ .. _Try Kestrel in a Cloud Sandbox: https://opencybersecurityalliance.org/try-kestrel-in-a-cloud-sandbox/ .. _Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator: https://opencybersecurityalliance.org/fun-with-securitydatasets-com-and-the-kestrel-powershell-deobfuscator/ .. _Kestrel Data Retrieval Explained: https://opencybersecurityalliance.org/kestrel-data-retrieval-explained/

.. _RSA Conference 2021: https://www.rsaconference.com/Library/presentation/USA/2021/The%20Game%20of%20Cyber%20Threat%20Hunting%20The%20Return%20of%20the%20Fun .. _RSA'21 session recording: https://www.youtube.com/watch?v=-Xb086R0JTk .. _SANS Threat Hunting Summit 2021: https://www.sans.org/blog/a-visual-summary-of-sans-threat-hunting-summit-2021/ .. _SANS'21 session recording: https://www.youtube.com/watch?v=gyY5DAWLwT0 .. _BlackHat Europe 2021: https://www.blackhat.com/eu-21/arsenal/schedule/index.html#an-open-stack-for-threat-hunting-in-hybrid-cloud-with-connected-observability-25112 .. _Infosec Jupyterthon 2021: https://infosecjupyterthon.com/2021/agenda.html .. _IJ'21 live hunt recording: https://www.youtube.com/embed/nMnHBnYfIaI?start=20557&end=22695 .. _Infosec Jupyterthon 2022: https://infosecjupyterthon.com/2022/agenda.html .. _IJ'22 live hunt recording: https://www.youtube.com/embed/8Mw1yyYkeqM?start=23586&end=26545 .. _SC eSummit on Threat Hunting & Offense Security: https://www.scmagazine.com/esummit/automating-the-hunt-for-advanced-threats .. _Cybersecurity Automation Workshop: http://www.cybersecurityautomationworkshop.org/ .. _Black Hat USA 2024: https://www.blackhat.com/us-24/arsenal/schedule/index.html#kestrel--hunt-for-threats-across-security-data-lakes-39321 .. _Black Hat USA 2023: https://www.blackhat.com/us-23/arsenal/schedule/index.html#identity-threat-hunting-with-kestrel-33662 .. _Black Hat USA 2022: https://www.blackhat.com/us-22/arsenal/schedule/index.html#streamlining-and-automating-threat-hunting-with-kestrel-28014 .. _BH'22 recording: https://www.youtube.com/watch?v=tf1VLIpFefs .. _Black Hat USA 2022 session recording: https://www.youtube.com/watch?v=tf1VLIpFefs .. _BH'22 hunting lab: https://mybinder.org/v2/gh/opencybersecurityalliance/black-hat-us-2022/HEAD?filepath=demo .. _Black Hat USA 2022 Kestrel hunting lab: https://mybinder.org/v2/gh/opencybersecurityalliance/black-hat-us-2022/HEAD?filepath=demo .. _Black Hat USA 2024 Kestrel hunting lab: https://github.com/opencybersecurityalliance/black-hat-us-2024 .. _Red Hat Research Quarterly: https://research.redhat.com/blog/article/team-threat-hunting-on-a-container-platform-kestrel-as-a-service/ .. _CNCF Secure AI Summit 2024: https://secureaisummit2024.sched.com/event/1dBWF/elevate-cloud-threat-hunting-with-ai-kenneth-peeples-maya-costantini-red-hat

.. _slack invitation: https://join.slack.com/t/open-cybersecurity/shared_invite/zt-19pliofsm-L7eSSB8yzABM2Pls1nS12w .. _Open Cybersecurity Alliance workspace: https://open-cybersecurity.slack.com/ .. _GitHub Issue: https://github.com/opencybersecurityalliance/kestrel-lang/issues .. _contributing guideline: CONTRIBUTING.rst .. _governance documentation: GOVERNANCE.rst .. _Apache License 2.0: LICENSE.md

.. |readthedocs| image:: https://readthedocs.org/projects/kestrel/badge/?version=latest :target: https://kestrel.readthedocs.io/en/latest/?badge=latest :alt: Statut de la documentation

.. |pypi| image:: https://img.shields.io/pypi/v/kestrel-jupyter :target: https://pypi.python.org/pypi/kestrel-jupyter :alt: Dernière version

.. |downloads| image:: https://img.shields.io/pypi/dm/kestrel-core :target: https://pypistats.org/packages/kestrel-core :alt: Téléchargements PyPI

.. |codecoverage| image:: https://codecov.io/gh/opencybersecurityalliance/kestrel-lang/branch/develop/graph/badge.svg?token=HM4ax10IW3 :target: https://codecov.io/gh/opencybersecurityalliance/kestrel-lang :alt: Couverture de code

.. |black| image:: https://img.shields.io/badge/code%20style-black-000000.svg :target: https://github.com/psf/black :alt: Style de code : Black