cyb3rmik3/kql-threat-hunting-queriesUn repository di query KQL incentrato sul threat hunting e sul rilevamento delle minacce per Microsoft Sentinel e Microsoft XDR (ex Microsoft 365 Defender).
_ _____ _ _____ _ _ ____ _____ _ _____ _ _ _ _ _ _ _____ ___ _ _ ____
| |/ / _ \| | |_ _| | | | _ \| ____| / \|_ _| | | | | | | | \ | |_ _|_ _| \ | |/ ___|
| ' | | | | | | | | |_| | |_) | _| / _ \ | | | |_| | | | | \| | | | | || \| | | _
| . | |_| | |___ | | | _ | _ <| |___ / ___ \| | | _ | |_| | |\ | | | | || |\ | |_| |
|_|\_\__\_|_____| |_| |_| |_|_| \_|_____/_/ \_|_| |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
[!NOTE]
27 gennaio: dopo quasi un anno di contributi, questo repository è in fase di una profonda ristrutturazione per rispondere al panorama attuale della community e, inoltre, per offrire una contestualizzazione molto migliore al fine di continuare a contribuire.
Questo repository è uno sforzo per fornire query di rilevamento e hunting pronte all'uso (e non solo) al fine di aiutare gli analisti e i threat hunter a sfruttare la potenza di KQL in Microsoft Sentinel e Microsoft Defender XDR.
Si prega di:
Buon divertimento, e non esitare a contattarmi per qualsiasi dubbio o suggerimento: cyb3rmik3.
Se Microsoft Sentinel e Microsoft 365 Defender sono i tuoi strumenti quotidiani, dovresti valutare di seguire il corso Microsoft per Certified Security Operations Analyst (codice esame SC-200). Conoscerai l'ampia gamma di prodotti di sicurezza Microsoft e come usarli per fornire dati, segnali di sicurezza e analizzare avvisi e incidenti.
Ad ogni modo, puoi passare direttamente al corso Microsoft incentrato su KQL:
La formazione per esperti di advanced hunting in Microsoft Defender XDR fornisce una guida completa per analisti della sicurezza e threat hunter per migliorare le loro competenze nell'advanced hunting. La formazione è erogata attraverso una serie di webcast intitolati "Tracking the Adversary" e "L33TSP3AK".
Mehmet Ergene (noto anche come cyb3rmonk) ha fondato la blu raven academy, dove offre i seguenti corsi di formazione KQL, inclusa esperienza pratica in un ambiente di laboratorio iper-realistico.
Rod Trent ha creato la serie MustLearnKQL, un insieme di post di blog e video su Youtube che rappresentano uno sforzo per discutere e insegnare la potenza e la semplicità del Kusto Query Language.
Invictus ha creato la formazione Incident Response in the Microsoft Cloud, che copre come condurre l'incident response in Microsoft Azure e Microsoft 365. Include le nozioni di base di KQL, ma anche query pack KQL e casi d'uso più avanzati e query KQL per attacchi cloud.
I dati sono organizzati in una gerarchia di database, tabelle e colonne, simile a SQL. Ad esempio, la tabella DeviceNetworkEvents nello schema di advanced hunting contiene informazioni sulle connessioni di rete e sugli eventi correlati.
where filtra in base a un predicato specifico
DeviceNetworkEvents
| where LocalIP == "192.168.0.1"
DeviceNetworkEvents
| where DeviceName has "ComputerName"
Restituisce l'offset temporale relativo al momento in cui la query viene eseguita
DeviceNetworkEvents
| where Timestamp > ago(1d)
Seleziona le colonne da includere nell'ordine specificato
DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl
Il threat hunting dovrebbe essere un processo continuo. Si parte dalla parte alta del nostro ciclo con l'Ipotesi. La nostra Ipotesi ci aiuta a pianificare cosa andremo a cacciare, il che richiede di capire dove cacciare e come lo faremo. Questo significa che dobbiamo comprendere i dati che abbiamo, gli strumenti che abbiamo, le competenze che abbiamo e come lavorare con essi. Il ciclo di hunting non si ferma quando eseguiamo la caccia. Ci sono ancora diverse fasi da condurre durante l'intero ciclo di vita, inclusa la risposta alle anomalie. Anche se non troviamo una minaccia attiva, ci saranno attività da svolgere. Ulteriori informazioni.
