TelemetrySource

Progetto creato per mappare le funzioni responsabili dell'attivazione degli eventi provenienti da varie fonti di telemetria.

Foglio di mappatura principale: Event Mapping Google Sheet

Fonti attualmente mappate:

Sysmon

Eventi di Sicurezza di Windows (Microsoft-Windows-Security-Auditing)

Eventi di Threat Intelligence (Microsoft-Windows-Threat-Intelligence)

• Ogni fonte ha il proprio file README con le informazioni necessarie per comprendere come funzionano le mappature.

Blog:

Ho scritto un paio di articoli sulla mia metodologia per rintracciare questi eventi fino alle API. Leggeteli se siete interessati:

• Uncovering Windows Events - Part 1: TelemetrySource
• Uncovering Windows Events - Part 2: The Methodology
• Uncovering Windows Events - Part 3: Threat Intelligence ETW

Feedback:

Se qualcuno ha suggerimenti su come questi dati potrebbero essere esposti diversamente per aiutare meglio i difensori, o qualsiasi altro feedback, non esitate a contattarmi! L'obiettivo di questo progetto è aiutare i difensori a capire come vengono generati i dati, così da poter prendere decisioni più consapevoli quando utilizziamo quei dati.

To-Do:

• Aggiornare Sysmon alla v14
• Espandere gli eventi in Microsoft-Windows-Security-Auditing
• Aggiungere altri provider ETW