keyboardcrunch/sentinelone-attack-queriesQuery mappate su MITRE ATT&CK per SentinelOne Deep Visiblity
Query mappate su MITRE ATT&CK per SentinelOne Deep Visiblity
Questo progetto è stato sostituito dal repository SentinelOne-Queries, che si orienta verso firme condivisibili e per l'uso negli strumenti. Il nuovo repository è costruito sul lavoro contenuto in questo repository e la maggior parte dei test viene ancora eseguita contro Atomic Red Team. Queste query non verranno aggiornate poiché le rilevazioni cambiano tra le versioni degli Agent, ecc.
Questo progetto mira a documentare le query di SentinelOne Deep Visibility per rilevare TTP Windows generati dal framework Atomic Red Team di Red Canary Co. Non tutte le tecniche documentate nel progetto Atomic Red Team avranno query corrispondenti; a causa delle limitate fonti dati in SentinelOne, alcune rilevazioni saranno limitate; alla fine amplieremo oltre A.R.T. e le chiameremo semplicemente query mappate su ATT&CK, ma mi piace l'idea di avere un framework per testare queste rilevazioni.
Queste query sono state create e testate sulla release della console Liberty e dovrebbero supportare Deep Visibility 3.0. Si consiglia che i Sentinel Agent siano sulla versione 4.2.x o successiva, poiché alcuni dati degli indicatori interrogati vengono raccolti solo dagli agenti più recenti.
