.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/logo/logo_w_text.png :width: 460 :alt: Kestrel 脅威ハンティング言語

ネイティブクエリ/スクリプト（左）とKestrel（右）でのハンティング？

*エンドツーエンドのサイバー脅威ハンティングは通常、複数のデータソース/環境にわたる実行と、ハントフローの任意の場所でのエンリッチメント/ML/可視化ステップを必要とします。

.. image:: https://raw.githubusercontent.com/opencybersecurityalliance/data-bucket-kestrel/main/images/kestrel2_example.png :alt: Kestrel2 の例

Kestrel とは何か？

Kestrel は、再利用可能で構成可能、共有可能なハントフローを構築するための抽象化レイヤーを提供することで、サイバー脅威ハンティングを高速にすることを目指した脅威ハンティング言語です。まずはこちらから：

#. Black Hat USA 2024 Kestrel hunting lab_ #. Black Hat USA 2022 Kestrel hunting lab_ #. Black Hat USA 2022 session recording_

ニュース

Kestrel でハントするために Black Hat USA 2024_ に登録
CNCF Secure AI Summit 2024_ での Kestrel と AI に関するトーク
Red Hat Research Quarterly_ (RHRQ) でスケーラブルな Kestrel デプロイメントを学ぶ

Kestrel の概要

ソフトウェア開発者は Python や Swift を書き、それをマシンコードに変換してビジネスロジックを素早くアプリケーションにします。脅威ハンターは Kestrel を書き、脅威仮説を素早くハントフローに変換します。私たちは脅威ハンティングを、カスタマイズされた侵入検知システムをその場で作成するための対話型手順と捉えており、ハントフローは通常のプログラムにおける制御フローに相当します。

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/docs/images/overview.png :width: 100% :alt: Kestrel の概要。

Kestrel 言語：人間が何をハントするかを表現するための脅威ハンティング言語。
- 何をの知識をパターン、分析、ハントフローで表現。
- 個々のハンティングステップから再利用可能なハントフローを構成。
- 人間に優しいエンティティベースのデータ表現抽象化による推論。
- 異種データと脅威インテリジェンスソースを横断して思考。
- 既存の公開・独自の検知ロジックを分析ハントステップとして適用。
- 個々のハンティングステップ、ハントフロー、ハントブック全体の再利用と共有。
Kestrel ランタイム：どのようにハントするかを扱うマシンインタプリタ。
- 何をを特定のハンティングプラットフォーム命令に対してコンパイル。
- コンパイルされたコードをローカルおよびリモートで実行。
- 生のログとレコードをエンティティに組み立て、エンティティベースの推論を実現。
- 中間データと関連レコードをキャッシュし、高速応答を実現。
- 関連ログとレコードを先読みし、エンティティ間のリンク構築を実現。
- データソースと分析実行のための拡張可能なインターフェースを定義。

基本概念と使い方

Kestrel ドキュメント_ にアクセスして Kestrel を学びましょう：

概念と構文を学ぶ：
- Kestrel の包括的な紹介_
- Kestrel の2つの重要な概念_
- クイズ付きインタラクティブチュートリアル_
- 言語リファレンスブック_
自身の環境でハントする：
- Kestrel ランタイムのインストール_
- データソースへの接続方法_
- Python/Docker で分析ハントステップを実行する方法_
- API 経由で Kestrel を使用する方法_
- Kestrel を Docker コンテナとして起動する方法_

Kestrel 2

Kestrel 2 は Black Hat USA 2024_ でデビューします。Kestrel 1 の言語構文を維持しつつ、Kestrel 2 のランタイムを完全に再設計し、エンティティ、属性、関係の表現において、より優れたパフォーマンスとより柔軟な構文を実現しました。

Kestrel 2 の主な機能：

インタプリタではなくジャストインタイムコンパイル
遅延評価と新しい EXPLAIN コマンド
深くネストされたクエリによるデータレイクハウス最適化
STIX に加えて OCSF と OpenTelemetry のエンティティ/属性サポート

Kestrel 2 は現在ベータ版です。詳細は Kestrel ランタイムのインストール_ をご覧ください。

Kestrel ハントブックと分析

Kestrel ハントブック_: コミュニティが貢献した Kestrel ハントブック
Kestrel 分析_: コミュニティが貢献した Kestrel 分析

Kestrel ハンティングブログ

Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks_
Practicing Backward And Forward Tracking Hunts on A Windows Host_
Building Your Own Kestrel Analytics and Sharing With the Community_
Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow_
Try Kestrel in a Cloud Sandbox_
Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator_
Kestrel Data Retrieval Explained_

トークとデモ

トークの概要（詳細は Kestrel ドキュメントのトークページ_ をご覧ください）：

2024/08 Black Hat USA 2024_
2024/06 CNCF Secure AI Summit 2024_
2023/08 Black Hat USA 2023_
2022/12 Infosec Jupyterthon 2022_ [IJ'22 live hunt recording_]
2022/08 Black Hat USA 2022_ [BH'22 recording_ | BH'22 hunting lab_]
2022/06 Cybersecurity Automation Workshop_
2022/04 SC eSummit on Threat Hunting & Offense Security_（無料登録/再生可能）
2021/12 Infosec Jupyterthon 2021_ [IJ'21 live hunt recording_]
2021/11 BlackHat Europe 2021_
2021/10 SANS Threat Hunting Summit 2021: [SANS'21 session recording]
2021/05 RSA Conference 2021: [RSA'21 session recording]

コミュニティとの繋がり

Kestrel Slack チャンネルに参加：
- Slack 招待_ を取得して Open Cybersecurity Alliance ワークスペース_ に参加
  
  .. image:: https://opencyberallia.wpengine.com/wp-content/uploads/2022/03/OCA-logo-e1646689234325.png :width: 20% :alt: OCA ロゴ
- kestrel チャンネルに参加して質問し、他のハンターと繋がる
言語開発に貢献（Apache License 2.0_）：
- GitHub Issue_ を作成してバグ報告や新機能の提案
- コントリビューションガイドライン_ に従ってプルリクエストを送信
- PR マージ、リリース、脆弱性開示に関するガバナンスドキュメント_ を参照
ハントブックと分析を共有：
- Kestrel ハントブック_
- Kestrel 分析_

.. _Kestrel live tutorial in a cloud sandbox: https://mybinder.org/v2/gh/opencybersecurityalliance/kestrel-huntbook/HEAD?filepath=tutorial .. _Kestrel documentation: https://kestrel.readthedocs.io/

.. _Kestrel huntbook: https://github.com/opencybersecurityalliance/kestrel-huntbook .. _Kestrel analytics: https://github.com/opencybersecurityalliance/kestrel-analytics

.. _Building a Huntbook to Discover Persistent Threats from Scheduled Windows Tasks: https://opencybersecurityalliance.org/huntbook-persistent-threat-discovery-kestrel/ .. _Practicing Backward And Forward Tracking Hunts on A Windows Host: https://opencybersecurityalliance.org/backward-and-forward-tracking-hunts-on-a-windows-host/ .. _Building Your Own Kestrel Analytics and Sharing With the Community: https://opencybersecurityalliance.org/kestrel-custom-analytics/ .. _Setting Up The Open Hunting Stack in Hybrid Cloud With Kestrel and SysFlow: https://opencybersecurityalliance.org/kestrel-sysflow-open-hunting-stack/ .. _Try Kestrel in a Cloud Sandbox: https://opencybersecurityalliance.org/try-kestrel-in-a-cloud-sandbox/ .. _Fun with securitydatasets.com and the Kestrel PowerShell Deobfuscator: https://opencybersecurityalliance.org/fun-with-securitydatasets-com-and-the-kestrel-powershell-deobfuscator/ .. _Kestrel Data Retrieval Explained: https://opencybersecurityalliance.org/kestrel-data-retrieval-explained/

kestrel-lang

人気