- अब हम अपनी लुकअप परिभाषा का उपयोग शिकार 🏹 करने के लिए कर सकते हैं
- :warning: यदि निम्नलिखित अनुभाग की खोजें काम करती नहीं दिख रही हैं, तो यह स्प्लंक संसाधन सीमा सेटिंग्स के कारण हो सकता है, खासकर यदि आप डिफ़ॉल्ट कॉन्फ़िगरेशन के तहत स्प्लंक चला रहे हैं। शुरुआत के लिए आपको `[lookup]` स्टैंज़ा में `max_memtable_bytes` मान बढ़ाने पर विचार करना पड़ सकता है।

## `threathunting-keywords` के साथ उपयोग के उदाहरण:
![image](https://assets.kitploit.com/production/public/readmes/48741/204eb8e71d12257660c7166cb5f050747877e1968d7ff1f21812967d64355ca0.png)



### कच्चे लॉग में सभी कीवर्ड खोजें 😱```
`myendpointslogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_endpoint_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

आवश्यक कीवर्ड, कच्चा टेक्स्ट या कीवर्ड प्रकारों को बाहर करें।
यदि हम `greyware tool keyword` प्रकार को बाहर करने का निर्णय लेते हैं (वैध टूल कीवर्ड जिनका दुरुपयोग हमलावरों द्वारा किया जाता है) क्योंकि इस वातावरण में इस तरह के टूल्स के लिए बहुत अधिक परिणाम हैं, तो हमारे पास दो विकल्प हैं:

- हमारी प्रारंभिक खोज की शुरुआत में फ़िल्टर करें```
`myendpointslogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" metadata_keyword_type="offensive tool keyword" metadata_enable_endpoint_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

तो यह एंडपॉइंट लॉग्स में रॉ लॉग्स खोजने का हमारा यूज़ केस था। अगर हम नेटवर्क लॉग्स (जो क्वेरी या यूआरएल लॉग कर सकते हैं) के लिए कीवर्ड खोजना चाहते हैं, तो हम इसे बस बदल देते हैं:```
`mynetworklogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_proxy_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

#### केवल क्वेरी फ़ील्ड पर मिलान करें:```
`mynetworklogs` query=*
| lookup threathunting-keywords keyword as query OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_proxy_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(query) as query by src_ip metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

#### गति:

यदि गति एक चिंता का विषय है या आप इसे एक निर्धारित डिटेक्शन नियम के रूप में लागू करने की योजना बना रहे हैं, तो आप `metadata_keyword_type` या `metadata_tool` कॉलम चुनकर लुकअप को अलग-अलग लुकअप में विभाजित करने पर विचार कर सकते हैं।

ध्यान दें कि `|lookup` के बाद search कमांड का उपयोग करके फ़िल्टर करने से खोज प्रक्रिया तेज़ नहीं होती है। यदि आप लुकअप को विभाजित किए बिना उसके किसी विशेष भाग पर ध्यान केंद्रित करना चाहते हैं, तो आपको `|inputlookup` कमांड का उपयोग where क्लॉज के साथ करना चाहिए। हालाँकि यह विधि अधिक CPU संसाधनों का उपभोग कर सकती है, लेकिन यह आम तौर पर तेज़ निष्पादन में परिणाम देती है। अधिक जानकारी के लिए, inputlookup पर Splunk दस्तावेज़ देखें: https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Inputlookup

#### ELK के साथ:

यदि आप Elastic Stack के साथ काम कर रहे हैं, तो सूचियों के लिए बहुत सारे प्रतिबंध हैं (आप विशेष वर्ण, स्थान आदि का उपयोग नहीं कर सकते), आपके पास 3 विकल्प हैं:
- इसी रिपॉजिटरी में यहाँ उपलब्ध एक और सूची का उपयोग करें https://github.com/mthcht/ThreatHunting-Keywords/tree/main/elk (यह threahunting-keywords.csv का सीधा निष्कर्षण नहीं है, इसे ELK के लिए संशोधित किया गया है और अपडेट नहीं किया जाता है)
- Sigma "hunting" नियमों का उपयोग करें, जो सीधे इस प्रोजेक्ट से निकाले गए हैं https://github.com/mthcht/ThreatHunting-Keywords-sigma-rules और रूपांतरण के लिए pysigma के साथ
- मेरी कुछ सूचियों को वाइल्डकार्ड क्वेरी के साथ IOC सूची के रूप में उपयोग करें https://www.elastic.co/guide/en/elasticsearch/reference/8.15/query-dsl-wildcard-query.html#wildcard-top-level-params
 
### डैशबोर्ड उदाहरण
![image](https://assets.kitploit.com/production/public/readmes/48741/df177e7f2584b823c311a2b223eed8b237d8a72c05d0afb9d6b6f350e42ccda0.png)

### Splunk4DFIR
DFIR कलाकृतियों और लॉग्स में खोज करने के लिए splunk के साथ प्रोजेक्ट csv फ़ाइलों का उपयोग करने का एक और उदाहरण: https://github.com/mf1d3l/Splunk4DFIR
![image](https://assets.kitploit.com/production/public/readmes/48741/73d54c5b146c34685ebac4ed7ed2a9da11a3f90e6ae9ac0a4b17118d7895cbe3.png)

### डिटेक्शन के लिए अन्य बेहतरीन सूचियाँ
मैं कुछ प्रासंगिक कलाकृतियों को अलग-अलग सूचियों में रखता हूँ, ये सूचियाँ अधिक सटीक हैं और डिटेक्शन नियमों में उपयोग की जा सकती हैं, ये इस [github रिपॉजिटरी](https://github.com/mthcht/awesome-lists/tree/main/Lists) में उपलब्ध हैं
आप पाएंगे:

Threat Hunting सत्रों की योजना बनाने के लिए मेरी खुफिया जानकारी एकत्र करने की शीट

![intelligence gathering sheet](https://assets.kitploit.com/production/public/readmes/48741/498b188eaebabe5a7077300eeff16daee903ed30d0b1797b82c208a54ba1424d.png)


- 📋 सूचियाँ: https://github.com/mthcht/awesome-lists/tree/main/Lists
- 🕵️‍♂️ ThreatHunting गाइड: https://mthcht.medium.com/list/threat-hunting-708624e9266f
- 🚰 संदिग्ध नामित पाइप: [suspicious_named_pipe_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_named_pipe_list.csv)
- 🌐 संदिग्ध TLDs (स्वचालित रूप से अपडेट): [[suspicious_TLDs]](https://github.com/mthcht/awesome-lists/tree/main/Lists/TLDs)
- 🌐 संदिग्ध ASNs (स्वचालित रूप से अपडेट): [[suspicious ASNs]](https://github.com/mthcht/awesome-lists/tree/main/Lists/ASNs)
- 🔧 संदिग्ध Windows सेवाएँ: [suspicious_windows_services_names_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_services_names_list.csv)
- ⏲️ संदिग्ध Windows कार्य: [suspicious_windows_tasks_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_tasks_list.csv)
- 🚪 संदिग्ध गंतव्य पोर्ट: [suspicious_ports_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_ports_list.csv)
- 🛡️ संदिग्ध फ़ायरवॉल नियम: [suspicious_windows_firewall_rules_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_firewall_rules_list.csv)
- 🆔 संदिग्ध User-agent: [suspicious_http_user_agents_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_http_user_agents_list.csv)
- 📇 संदिग्ध USB Ids: [suspicious_usb_ids_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_usb_ids_list.csv)
- 🔢 संदिग्ध MAC पता: [suspicious_mac_address_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_mac_address_list.csv)
- 📛 संदिग्ध होस्टनाम: [suspicious_hostnames_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_hostnames_list.csv)
- 🧮 मेटाडेटा एक्ज़िक्यूटेबल: [executables_metadata_informations_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Windows%20Metadata/executables_metadata_informations_list.csv)
- 🕸️ DNS over HTTPS सर्वर सूची: [dns_over_https_servers_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/dns_over_https_servers_list.csv)
- 📚 Hijacklibs (स्वचालित रूप से अपडेट): [hijacklibs_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Hijacklibs/hijacklibs_list.csv)
- 🌐 TOR नोड्स सूचियाँ (स्वचालित रूप से अपडेट): https://github.com/mthcht/awesome-lists/tree/main/Lists/TOR
- 🛠️ LOLDriver सूची (स्वचालित रूप से अपडेट): [loldrivers_only_hashes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Drivers/loldrivers_only_hashes_list.csv)
- 🛠️ दुर्भावनापूर्ण बूटलोडर सूची (स्वचालित रूप से अपडेट): [malicious_bootloaders_only_hashes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Drivers/malicious_bootloaders_only_hashes_list.csv)
- 📜 दुर्भावनापूर्ण SSL प्रमाणपत्र सूची (स्वचालित रूप से अपडेट): [ssl_certificates_malicious_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/SSL%20CERTS/ssl_certificates_malicious_list.csv)
- 🖥️ RMM डिटेक्शन: https://github.com/mthcht/awesome-lists/tree/main/Lists/RMM
- 👤🔑 AD/EntraID/AWS के लिए महत्वपूर्ण भूमिकाएँ और समूह: [[permissions]](https://github.com/mthcht/awesome-lists/tree/main/Lists/permissions)
- 💻🔒 रैनसमवेयर ज्ञात फ़ाइल एक्सटेंशन: [ransomware_extensions_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/ransomware_extensions_list.csv)
- 💻🔒 रैनसमवेयर ज्ञात फ़ाइल नाम फिरौती नोट: [ransomware_notes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/ransomware_notes_list.csv)
- 📝 Windows ASR नियम: [windows_asr_rules.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/windows_asr_rules.csv)
- 🌐 DNSTWIST सूचियाँ (स्वचालित रूप से अपडेट): [DNSTWIST डिफ़ॉल्ट डोमेन + स्क्रिप्ट](https://github.com/mthcht/awesome-lists/tree/main/Lists/DNSTWIST)
- 🌍 VPN IP पता सूचियाँ (स्वचालित रूप से अपडेट): 
  - 🛡️ NordVPN: [nordvpn_ips_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/VPN/NordVPN/nordvpn_ips_list.csv)
  - 🛡️ ProtonVPN: [protonvpn_ip_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/VPN/ProtonVPN/protonvpn_ip_list.csv)
- 🏢 कंपनियों की IP रेंज सूचियाँ (स्वचालित रूप से अपडेट): [डिफ़ॉल्ट सूचियाँ + स्क्रिप्ट](https://github.com/mthcht/awesome-lists/tree/main/Lists/Ranges_IP_Address_Company_List/bgp.he.net)
- 🔗 अन्य सहसंबंध सूचियाँ: https://github.com/mthcht/awesome-lists/tree/main/Lists/Others
- 📋 वे सूचियाँ जिन्हें मुझे पूरा करना है: https://github.com/mthcht/awesome-lists/tree/main/todo


कुछ सूचियों का उपयोग करने के लिए इन [गाइड](https://github.com/mthcht/awesome-lists/tree/main/Lists#how-to-use-the-lists) को देखें:
  - [Windows Services खोज](https://detect.fyi/threat-hunting-suspicious-windows-service-names-2f0dceea204c)
  - [User-Agents खोज](https://mthcht.medium.com/threat-hunting-suspicious-user-agents-3dd764470bd0)
  - [DNS Over HTTPS खोज](https://mthcht.medium.com/detecting-dns-over-https-30fddb55ac78)
  - [संदिग्ध TLDs खोज](https://mthcht.medium.com/threat-hunting-suspicious-tlds-a742c2adbf58)
  - [HijackLibs खोज](https://mthcht.medium.com/detect-dll-hijacking-techniques-from-hijacklibs-with-splunk-c760d2e0656f)
  - [Phishing और DNSTWIST खोज](https://detect.fyi/detecting-phishing-attempts-with-dnstwist-37c426b3bbb8)
  - [ब्राउज़र एक्सटेंशन खोज](https://mthcht.medium.com/detecting-browser-extensions-installations-e0ac2b45c46b)
  - [C2 सादे दृष्टि में छिपा हुआ](https://mthcht.medium.com/c2-hiding-in-plain-sight-7a83963b9344)
  - [HTML स्मगलिंग कलाकृतियाँ](https://mthcht.medium.com/detecting-html-smuggling-phishing-attempts-15af824e60e4)
  - [PSEXEC और समान उपकरण खोज](https://mthcht.medium.com/detecting-psexec-and-similar-tools-c812bf3dca6c)
  - [समय स्लिपिंग डिटेक्शन](https://mthcht.medium.com/event-log-manipulations-1-time-slipping-55bf95631c40)
  - [संदिग्ध नामित पाइप](https://medium.com/detect-fyi/threat-hunting-suspicious-named-pipes-a4206e8a4bc8)
 
... अधिक [यहाँ](https://github.com/mthcht/awesome-lists/tree/main/Lists#how-to-use-the-lists) 

## फ़ाइलों में कीवर्ड के लिए DFIR हंट (कोई SIEM नहीं)
विभिन्न उपकरणों की गहन समीक्षा करने के बाद, मैंने पाया कि [ripgrep](https://github.com/BurntSushi/ripgrep) regex पैटर्न की एक विस्तृत सूची को एक बड़ी लॉग फ़ाइल की प्रत्येक पंक्ति या एक साथ कई फ़ाइलों के विरुद्ध तेज़ी से मिलान करने के मामले में अपने प्रतिस्पर्धियों से काफी बेहतर प्रदर्शन करता है। यह बड़ी मात्रा में डेटा को संभालने के लिए सबसे कुशल समाधान साबित हुआ, जो अद्वितीय गति और लचीलापन प्रदान करता है।

### **Ripgrep** और 'only_keywords_regex.txt' सूची के साथ लॉग फ़ाइल(फ़ाइलों) में बुराई की खोज करें
#### `rg.exe -f .\only_keywords_regex.txt .\EvtxECmd_Output.csv --multiline --ignore-case`
- .\only_keywords_regex.txt थ्रेट हंटिंग कीवर्ड के लिए स्रोत फ़ाइल के रूप में कार्य करता है, जिसे सटीक मिलान के लिए regex पैटर्न में बदल दिया जाता है। ये पैटर्न threahunting-keywords.csv फ़ाइल से उत्पन्न होते हैं, जो regex संचालन के साथ इष्टतम संगतता के लिए एक रूपांतरण प्रक्रिया से गुज़री है।
- .\EvtxECmd_Output.csv उस लक्ष्य फ़ाइल का प्रतिनिधित्व करता है जिसमें खोज की जाएगी। इस संदर्भ में, यह एक Windows इवेंट लॉग का .csv प्रारूप है, जो evtx लॉग्स को निर्यात करके बनाया गया है। हालाँकि, ripgrep का लचीलापन आपको विस्तृत पैटर्न खोज संचालन के लिए इसे अपनी पसंद की किसी भी फ़ाइल से बदलने की अनुमति देता है।
- --multiline विकल्प ripgrep को कई पंक्तियों में फैले पैटर्न को प्रभावी ढंग से संभालने और मिलान करने में सक्षम बनाता है, जिससे खोज का दायरा काफी व्यापक हो जाता है।
आपको मिलान की गई पंक्तियाँ पंक्ति संख्या के साथ इस तरह मिलेंगी (लेकिन मिलान किए गए कीवर्ड के बिना)

![image](https://assets.kitploit.com/production/public/readmes/48741/d205ae3caf99906a03818c202e8811b669948e2f68b88cc137cba8cf0e43b69f.png)

![image](https://assets.kitploit.com/production/public/readmes/48741/e1b213fc63e1ec2914e0f1eb3263d17aa960eb50672fd18986a0f75d50e9c379.png)

#### बहुत बड़ी फ़ाइलों के लिए बेहतर विकल्प (windows पर):
[DFIR_hunt_in_file.ps1](https://github.com/mthcht/ThreatHunting-Keywords/blob/main/DFIR_hunt_in_file.ps1)

`powershell -ep Bypass -File .\DFIR_hunt_in_file.ps1 -patternFile "only_keywords_regex.txt" -targetFile "C:\Users\mthcht\collection\20230406154410_EvtxECmd_Output.csv" -rgPath "C:\Users\mthcht\Downloads\ripgrep-13.0.0-x86_64-pc-windows-msvc\ripgrep-13.0.0-x86_64-pc-windows-msvc\rg.exe"`
- `-targetFile`: खोजने के लिए फ़ाइल निर्दिष्ट करें (उदाहरण में, एक DFIR-ORC एक्सट्रैक्ट लॉग्स)
- `-patternFile`: regex पैटर्न वाली फ़ाइल `only_keywords_regex.txt`
- `-rgPath`: ripgrep एक्ज़िक्यूटेबल का पथ

पॉवरशेल स्क्रिप्ट की सामग्री (रिपॉजिटरी में शामिल):```powershell
param (
    [Parameter(Mandatory=$true)]
    [string]$patternFile,
    [Parameter(Mandatory=$true)]
    [string]$targetFile,
    [Parameter(Mandatory=$true)]
    [string]$rgPath
)

Start-Transcript -Path "$PSScriptRoot\result_search.log" -Append -Force -Verbose

$totalLines = (Get-Content $patternFile | Measure-Object -Line).Lines
$currentLine = 0
Get-Content $patternFile | ForEach-Object {
    $currentLine++
    Write-Host "Searching for pattern $currentLine of $totalLines : $_"  
    & $rgPath --multiline --ignore-case $_ $targetFile | Write-Output 
}

Stop-Transcript -Verbose