KQL क्वेरीज़ का उपयोग करके थ्रेट हंटिंग/पहचान

  _  _____  _       _____ _   _ ____  _____    _  _____   _   _ _   _ _   _ _____ ___ _   _  ____ 
 | |/ / _ \| |     |_   _| | | |  _ \| ____|  / \|_   _| | | | | | | | \ | |_   _|_ _| \ | |/ ___|
 | ' | | | | |       | | | |_| | |_) |  _|   / _ \ | |   | |_| | | | |  \| | | |  | ||  \| | |  _ 
 | . | |_| | |___    | | |  _  |  _ <| |___ / ___ \| |   |  _  | |_| | |\  | | |  | || |\  | |_| |
 |_|\_\__\_|_____|   |_| |_| |_|_| \_|_____/_/   \_|_|   |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
                                                                                                         

[!NOTE]
27 जनवरी: लगभग एक वर्ष के योगदान के बाद, यह रिपॉज़िटरी वर्तमान सामुदायिक परिदृश्य को पूरा करने और योगदान जारी रखने के लिए बेहतर संदर्भीकरण के लिए एक बड़े पुनर्निर्माण से गुज़र रही है।

यह रिपॉज़िटरी विश्लेषकों और थ्रेट हंटर्स को Microsoft Sentinel और Microsoft Defender XDR में KQL की शक्ति का उपयोग करने में मदद करने के लिए तैयार-निर्मित डिटेक्शन और हंटिंग क्वेरीज़ (और अधिक) प्रदान करने का एक प्रयास है।

• KQL प्रशिक्षण
• KQL मूल बातें
• थ्रेट हंटिंग मूल बातें
• KQL समुदाय

कृपया:

• नीचे दी गई अस्वीकरण सूचना पढ़ें।
• यदि आपको यहाँ कोई उपयोगी क्वेरी मिली है, तो इस रिपॉज़िटरी को एक ⭐ देने पर विचार करें।

आनंद लें, और किसी भी चिंता और सुझाव के लिए संपर्क करें: cyb3rmik3।

मेरा काम पसंद आया? मुझे एक कॉफ़ी से ऊर्जा देने पर विचार करें! :)

---

KQL प्रशिक्षण

Microsoft Security Operations Analyst Associate (SC-200)

यदि Microsoft Sentinel और Microsoft 365 Defender आपके दैनिक उपयोग के उपकरण हैं, तो आपको Microsoft के प्रमाणित Security Operations Analyst पाठ्यक्रम (परीक्षा कोड SC-200) का पालन करने पर विचार करना चाहिए। आप Microsoft के सुरक्षा उत्पादों की विस्तृत श्रृंखला और डेटा, सुरक्षा सिग्नल प्रदान करने तथा अलर्ट और घटनाओं का विश्लेषण करने के लिए उनका उपयोग कैसे करें, इससे परिचित होंगे।

फिर भी, आप Microsoft के उस पाठ्यक्रम में शामिल हो सकते हैं जो KQL पर केंद्रित है:

• Utilize KQL for Azure Sentinel
• Configure Azure Sentinel environment

उन्नत मोड में क्वेरीज़ बनाएँ

Microsoft Defender XDR उन्नत हंटिंग विशेषज्ञ प्रशिक्षण सुरक्षा विश्लेषकों और थ्रेट हंटर्स को उन्नत हंटिंग में अपने कौशल को बढ़ाने के लिए एक व्यापक मार्गदर्शिका प्रदान करता है। यह प्रशिक्षण "Tracking the Adversary" और "L33TSP3AK" शीर्षक वाले वेबकास्ट की एक श्रृंखला के माध्यम से दिया जाता है।

• Get expert training on advanced hunting

थ्रेट हंटिंग और डिटेक्शन इंजीनियरिंग के लिए व्यावहारिक KQL

Mehmet Ergene (जिन्हें cyb3rmonk के नाम से भी जाना जाता है) ने blu raven academy की स्थापना की, जहाँ वे निम्नलिखित KQL प्रशिक्षण पाठ्यक्रम प्रदान करते हैं, जिसमें एक अति-यथार्थवादी लैब वातावरण में व्यावहारिक अनुभव शामिल है।

• "Introduction to KQL for Security Analysis (FREE)"
• "Hands-On KQL for Threat Hunting and Detection Engineering"
• Hands-On Kusto Query Language (KQL) for Security Analysts

Rod Trent का MustLearnKQL

Rod Trent ने MustLearnKQL श्रृंखला बनाई, जो ब्लॉग पोस्ट और Youtube वीडियो का एक समूह है, जिसका उद्देश्य Kusto Query Language की शक्ति और सरलता के बारे में चर्चा और शिक्षा देना है।

CTF जैसी शिक्षा

• KC7 Cyber साइबर सुरक्षा सीखने का एक नया तरीका है जो व्यावहारिक, मज़ेदार और आकर्षक है।
• Kusto Detective Agency चुनौतियों का एक समूह है जिसे आपको KQL सीखने में मदद करने के लिए डिज़ाइन किया गया है।

Microsoft Cloud में घटना प्रतिक्रिया

Invictus ने Incident Response in the Microsoft Cloud प्रशिक्षण बनाया है, जो Microsoft Azure और Microsoft 365 में incident response कैसे करें, इसे कवर करता है। इसमें KQL मूल बातें, बल्कि KQL querypacks और cloud attacks के लिए अधिक उन्नत उपयोग के मामले और KQL क्वेरीज़ भी शामिल हैं।

---

KQL मूल बातें

उपयुक्त तालिका चुनें

डेटा को SQL की तरह डेटाबेस, तालिकाओं और स्तंभों के पदानुक्रम में व्यवस्थित किया जाता है। उदाहरण के लिए, advanced hunting स्कीमा में DeviceNetworkEvents तालिका में नेटवर्क कनेक्शन और संबंधित घटनाओं की जानकारी होती है।

where ऑपरेटर

where किसी विशिष्ट विधेय (predicate) पर फ़िल्टर करता है

DeviceNetworkEvents
| where LocalIP == "192.168.0.1"

contains/has

• Contains: किसी भी सबस्ट्रिंग मैच की तलाश करता है
• Has: किसी विशिष्ट शब्द की तलाश करता है (बेहतर प्रदर्शन)

DeviceNetworkEvents
| where DeviceName has "ComputerName"

ago

क्वेरी निष्पादित होने के समय के सापेक्ष समय ऑफ़सेट लौटाता है

DeviceNetworkEvents
| where Timestamp > ago(1d)

project

निर्दिष्ट क्रम में शामिल करने के लिए कॉलम का चयन करता है

DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl

---

थ्रेट हंटिंग बेसिक्स

Microsoft थ्रेट हंटिंग

थ्रेट हंटिंग एक सतत प्रक्रिया होनी चाहिए। हम अपने चक्र के शीर्ष पर अपनी परिकल्पना (Hypothesis) से शुरुआत करते हैं। हमारी परिकल्पना हमें यह योजना बनाने में मदद करती है कि हम किस चीज़ की हंटिंग करेंगे, जिसके लिए हमें यह समझना आवश्यक है कि हम कहाँ हंटिंग करेंगे और इसे कैसे करेंगे। इसका अर्थ है कि हमें अपने पास उपलब्ध डेटा, उपलब्ध टूल्स, उपलब्ध विशेषज्ञता, और उनके साथ काम करने के तरीके को समझना होगा। हंटिंग चक्र तब नहीं रुकता जब हम हंट को निष्पादित करते हैं। पूरे जीवन चक्र में अभी भी कई चरण हैं जिन्हें हमें पूरा करना होता है, जिसमें विसंगतियों (anomalies) पर प्रतिक्रिया देना भी शामिल है। भले ही हमें कोई सक्रिय खतरा न मिले, फिर भी करने के लिए गतिविधियाँ होंगी। अधिक।

MITRE ATT&CK

हंटिंग के दृष्टिकोण के दो घटक हैं: दुर्भावनापूर्ण गतिविधि का लक्षण-वर्णन (Characterization), और हंट का निष्पादन (Execution)। ये घटक निरंतर चलने वाली गतिविधियाँ होनी चाहिए, जिन्हें adversaries और terrain के बारे में नई जानकारी के आधार पर लगातार अद्यतन किया जाए। अधिक।

---

KQL समुदाय

समुदाय के भीतर योगदान देना और साझा करना सर्वोपरि है क्योंकि यह एक सहयोगी वातावरण को बढ़ावा देता है जहाँ हम सभी अंतर्दृष्टियों, चुनौतियों का आदान-प्रदान कर सकते हैं और सामूहिक रूप से अपनी विशेषज्ञता को आगे बढ़ा सकते हैं। निम्नलिखित में, आपको मेरे कुछ बुकमार्क किए गए समुदाय संसाधन मिलेंगे।

KQL Search