ThreatHunting | Un'app Splunk mappata su MITRE ATT&CK per guidare le tue cacce alle minacce

Questa è un'applicazione Splunk che contiene diverse dashboard e oltre 130 report che faciliteranno gli indicatori di caccia iniziali da investigare.

Ovviamente è necessario inserire dati Sysmon in Splunk; una buona configurazione si trova qui

Nota: Questa applicazione non è una bacchetta magica, richiederà ottimizzazione e un reale lavoro investigativo per essere veramente efficace nel proprio ambiente. Cerca di diventare il miglior amico dei tuoi amministratori di sistema. Saranno in grado di spiegare molti degli indicatori inizialmente scoperti.

Un grande riconoscimento va a MITRE per aver creato il framework ATT&CK!

Pull request / issue ticket e nuove aggiunte saranno molto apprezzate!

Mitre ATT&CK

Mi impegno a mappare tutte le ricerche sul framework ATT&CK. Un esportazione corrente del navigatore ATT&CK di tutte le configurazioni collegate si trova qui e può essere visualizzata qui

Azioni necessarie dopo il deployment

• Segui tutti i passaggi nella pagina About dell'app, assicurati che tutti i requisiti siano soddisfatti.
• Assicurati che l'indice threathunting sia presente sui tuoi indexer
• Modifica le macro per adattarle al tuo ambiente > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (assicurati che il sourcetype sia corretto)
• L'app viene fornita senza file di lookup whitelist, dovrai crearli tu stesso. Questo per evitare di sovrascriverli accidentalmente durante un aggiornamento dell'app.
• Installa i CSV di lookup o creali tu stesso, i CSV vuoti sono qui

Una guida passo passo gentilmente scritta da Kirtar Oza si trova qui

Utilizzo

Una spiegazione più dettagliata di tutte le funzioni si trova qui o in questo articolo del blog