脅威ハンティング | 検知エンジニアリング

以下のための脅威ハンティングおよび検知クエリのコレクション:

• CrowdStrike Falcon (CQL – CrowdStrike Query Language を使用)
• Microsoft Defender XDR (KQL – Kusto Query Language を使用)

不審なプロセス、異常なネットワーク動作、LOLBins (Living-off-the-Land バイナリ)、永続化メカニズム、資格情報アクセス、横移動、C2活動、および潜在的なAPT行動を発見することを目的としています。可能な限りMITRE ATT&CKの手法にマッピングされています。

クエリは、最新の脅威インテリジェンスレポート、新たなキャンペーン、および実世界の観察に基づいて更新されています。

内容

• /CrowdStrike/ → Falcon Insight / LogScale / Next-Gen SIEM ハンティング用のCQLクエリ
• /KQL/ → Microsoft Defender for Endpoint、Defender XDR、Sentinel 向けのKQLクエリ

ほとんどのクエリには以下が含まれています:

• MITRE ATT&CK マッピング
• ユースケースの簡単なコメント
• 調整可能なパラメータ（時間枠、しきい値、除外条件）

ライセンス

自由に使用/修正/共有できます（帰属表示を推奨）。

❤️を込めて Awais Munir が作成

質問は？ イシューを開くか、LinkedInでお問い合わせください。