TelemetrySource

テレメトリソースからイベントをトリガーする関数をマッピングするために作成されたプロジェクトです。

メインマッピングシート: Event Mapping Google Sheet

現在マッピングされているソース:

Sysmon

Windows セキュリティイベント (Microsoft-Windows-Security-Auditing)

脅威インテリジェンスイベント (Microsoft-Windows-Threat-Intelligence)

• 各ソースには、マッピングの仕組みを理解するために必要な情報をまとめた独自のREADMEファイルがあります。

ブログ:

これらのイベントをAPIまで追跡する方法論について、いくつか記事を書きました。興味があればぜひ読んでみてください。

• Uncovering Windows Events - Part 1: TelemetrySource
• Uncovering Windows Events - Part 2: The Methodology
• Uncovering Windows Events - Part 3: Threat Intelligence ETW

フィードバック:

このデータを、防御側の助けになるように別の形で公開する方法についての提案やその他のフィードバックがあれば、ぜひお知らせください！ このプロジェクトの目的は、防御側がデータの生成方法を理解し、そのデータを活用する際により情報に基づいた意思決定ができるようにすることです。

今後のタスク:

• Sysmon を v14 に更新
• Microsoft-Windows-Security-Auditing のイベントを拡張
• 他の ETW プロバイダーを追加