重要: このREADMEおよびその他のドキュメントは、最新のベータリリースで行われた変更を反映するように更新されていません（多くの変更が行われたため）。安定版がリリースされた時点で、これらすべてが更新される予定です（次期リリースまでのロードマップを参照）。ご自身の判断でベータリリースを実行し、質問があればお気軽にどうぞ。

logo

概要

EDR（エンドポイント検出・対応）であり、検出に基づくアーティファクト収集機能を備えています。検出エンジンは、Windowsイベントをユーザー定義のルールと照合するために特別に設計された以前のプロジェクトGeneをベースに構築されています。

「検出に基づくアーティファクト収集」とは何ですか？

これは、アラートが直接何らかのアーティファクト収集（ファイル、レジストリ、プロセスメモリ）をトリガーできることを意味します。これにより、可能な限り早期に（ほぼリアルタイムで）アーティファクトを収集できます。

このすべての作業は、他の人々の助けになることを願い、私の自由時間に行われました。楽しんでいただければ幸いです。プロジェクトをさらに発展させるための資金提供がない限り、ベストエフォートベースで開発を継続します。問題の修正やアップデートの提供には可能な限り尽力します。プロジェクトの改善と存続のために、遠慮なくIssueを開いてください。

なぜ作ったのか

コミュニティにオープンソースのEDRを提供するため
検出ルールの透明性を確保し、アナリストがルールがトリガーされた理由を理解できるようにするため
柔軟なルールエンジンを通じて強力な検出プリミティブを提供するため
インシデント対応プロセスを最適化し、検出からアーティファクト収集までの時間を大幅に短縮するため

どのように動作するか

big-picture

注: EDRエージェントはスタンドアロンで実行可能です（EDRマネージャーに接続しなくても動作します）。

知っておくべきこと

Windows上でのみ動作し、ETWログを使用します。
すべての重い処理（カーネルコンポーネント）はSysmonに依存しています。
非常に強力でカスタマイズ可能な検出エンジン（geneを搭載）。
インシデントレスポンダーがインシデントレスポンダーのために構築し、彼らの仕事をより楽にすることを目的としています。
フットプリントが低い → プロセスインジェクションなし。
任意のアンチウイルス製品と共存可能（MS Defenderと併用することを推奨）。
高スループット向けに設計。パフォーマンスに影響を与えずに、エンドポイントあたり1日1500万イベントを容易にエンリッチメント・分析できます。これをSIEMで実現するのは困難です。
他のツール（Splunk、ELK、MISPなど）と容易に統合可能。
ATT&CKフレームワークと統合。
大規模なデプロイメント管理を容易にする強力な管理APIがあります（まだGUIはありません）。

インストール

必要条件

Sysmonのインストール
Sysmonの設定
- 最適化されたSysmon設定はこちらにあります。
- ProcessCreateおよびProcessTerminateのログ記録は必須です。
Sysmonバイナリへのパスをメモしておきます（後で必要になります）。

注: イベントフィルタリングは100%Geneルールで行えるため、複雑なSysmon設定を作成する必要はありません。