keyboardcrunch/sentinelone-attack-queriesSentinelOne Deep Visiblity용 MITRE ATT&CK 매핑 쿼리
MITRE ATT&CK에 매핑된 SentinelOne Deep Visiblity 쿼리
이 프로젝트는 공유 가능한 시그니처와 도구 활용을 지향하는 SentinelOne-Queries 저장소로 대체되었습니다. 새 저장소는 이 저장소의 작업을 기반으로 구축되었으며, 대부분의 테스트는 여전히 Atomic Red Team을 대상으로 수행됩니다. 이 쿼리들은 Agent 버전 간 탐지 변경 등으로 인해 더 이상 업데이트되지 않습니다.
이 프로젝트는 Red Canary Co의 Atomic Red Team 프레임워크가 생성한 Windows TTP를 탐지하기 위한 SentinelOne Deep Visibility 쿼리를 문서화하는 것을 목표로 합니다. Atomic Red Team 프로젝트에 문서화된 모든 기법에 일치하는 쿼리가 있는 것은 아니며, SentinelOne 내 데이터 소스가 제한적이어서 일부 탐지는 제한될 수 있습니다. 결국 A.R.T.를 넘어 확장하여 이들을 그냥 ATT&CK 매핑 쿼리라고 부를 계획이지만, 이러한 탐지를 테스트할 수 있는 프레임워크가 있다는 점이 마음에 듭니다.
이 쿼리들은 Liberty 콘솔 릴리스에서 제작 및 테스트되었으며 Deep Visibility 3.0을 지원해야 합니다. Sentinel Agent를 4.2.x 이상으로 유지할 것을 권장합니다. 쿼리되는 일부 지표 데이터는 최신 에이전트에서만 수집되기 때문입니다.
