ATT&CK マッピング済み SentinelOne クエリ

MITRE ATT&CK にマッピングされた SentinelOne Deep Visiblity 用クエリ

開発終了

このプロジェクトは、共有可能なシグネチャとツールでの利用を目指す SentinelOne-Queries リポジトリに置き換えられました。新しいリポジトリはこのリポジトリ内の作業を基に構築されており、テストのほとんどは依然として Atomic Red Team に対して実施されています。これらのクエリは、エージェントのバージョン間などで検出内容が変化するため、更新されません。

このプロジェクトは、Red Canary Co の Atomic Red Team フレームワークによって生成された Windows の TTP を検出するための SentinelOne Deep Visibility クエリを文書化することを目的としています。Atomic Red Team プロジェクトに文書化されているすべてのテクニックに一致するクエリがあるわけではありません。SentinelOne 内のデータソースが限られているため、一部の検出は制限されます。最終的には A.R.T. を超えて拡張し、これらを単に ATT&CK マッピング済みクエリと呼ぶつもりですが、これらの検出をテストするためのフレームワークがあるという考えは気に入っています。

これらのクエリは Liberty コンソールリリース上で作成・テストされており、Deep Visibility 3.0 をサポートしています。照会される指標データの一部は新しいエージェントでのみ収集されるため、Sentinel エージェントは 4.2.x 以降にすることを推奨します。