ThreatHunting | MITRE ATT&CK にマッピングされた Splunk アプリで脅威ハンティングをガイド

これは、複数のダッシュボードと130以上のレポートを含むSplunkアプリケーションで、初期ハンティングの指標を調査するのに役立ちます。

当然、SysmonデータをSplunkに取り込む必要があります。適切な構成はこちらにあります。

注記: このアプリケーションは万能薬ではありません。実際に効果を発揮するには、調整と真の調査作業が必要です。 システム管理者と親友になりましょう。彼らは最初に発見された指標の多くを説明できるでしょう。

ATT&CKフレームワークを作成したMITREに多大な感謝を！

プルリクエスト / イシューチケットや新たな追加は大歓迎です！

Mitre ATT&CK

すべての検索をATT&CKフレームワークにマッピングするよう努めています。 リンクされた全構成の現在のATT&CKナビゲーターエクスポートはこちらにあり、こちらで表示できます。

デプロイ後の必須アクション

• アプリの「About」ページのすべての手順に従い、すべての要件が満たされていることを確認してください。
• threathunting インデックスがインデクサーに存在することを確認してください。
• 環境に合わせてマクロを編集してください > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (ソースタイプが正しいことを確認してください)
• アプリにはホワイトリストのルックアップファイルは付属していません。自分で作成する必要があります。これは、アプリのアップグレード時に誤って上書きされないようにするためです。
• ルックアップCSVをインストールするか、自分で作成してください。空のCSVはこちらにあります。

Kirtar Oza氏によるステップバイステップガイドはこちらにあります。

使用方法

すべての機能の詳細な説明はこちらまたはこちらのブログ記事にあります。