ThreatHunting | MITRE ATT&CK에 매핑된 Splunk 앱으로 위협 사냥을 안내합니다

이 Splunk 애플리케이션은 여러 대시보드와 130개 이상의 보고서를 포함하여 사냥 초기 지표를 조사할 수 있도록 지원합니다.

물론 Splunk에 Sysmon 데이터를 수집해야 하며, 좋은 구성은 여기에서 찾을 수 있습니다.

참고: 이 애플리케이션은 만병통치약이 아닙니다. 환경에서 효과적으로 작동하려면 튜닝과 실제 조사 작업이 필요합니다. 시스템 관리자와 가장 친한 친구가 되어 보세요. 초기에 발견된 지표의 많은 부분을 설명할 수 있을 것입니다.

큰 공로는 ATT&CK 프레임워크를 만든 MITRE에게 있습니다!

풀 리퀘스트/이슈 티켓 및 새로운 추가 사항은 크게 환영합니다!

Mitre ATT&CK

모든 검색을 ATT&CK 프레임워크에 매핑하기 위해 노력하고 있습니다. 현재 연결된 모든 구성의 ATT&CK 네비게이터 내보내기는 여기에서 찾을 수 있으며 여기에서 볼 수 있습니다.

배포 후 필요한 작업

• 앱의 정보 페이지에 있는 모든 단계를 따르고 모든 요구 사항이 충족되었는지 확인하세요.
• 인덱서에 threathunting 인덱스가 있는지 확인하세요.
• 환경에 맞게 매크로를 편집하세요 > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (sourcetype이 올바른지 확인하세요)
• 앱은 화이트리스트 조회 파일 없이 제공됩니다. 직접 생성해야 합니다. 이는 앱 업그레이드 시 실수로 덮어쓰지 않도록 하기 위함입니다.
• 조회 csv 파일을 설치하거나 직접 생성하세요. 빈 csv 파일은 여기에 있습니다.

Kirtar Oza가 친절히 작성한 단계별 가이드는 여기에서 찾을 수 있습니다.

사용법

모든 기능에 대한 자세한 설명은 여기 또는 이 블로그 게시물에서 확인할 수 있습니다.