Uso

Detecção Local

Execute make detect para detecção pontual. Isso não detectará tanto quanto uma instalação em produção, pois não terá acesso a eventos históricos.

Detecção em Produção

Baixe um pacote de consultas lançado para um local conveniente e aponte para esses arquivos na seção packs do seu arquivo osquery.conf.

Coleta Local de Dados para Resposta a Incidentes

Execute make collect. Isso é particularmente útil para análises de antes/depois.

Geração local de pacotes

Execute make packs. Para mais controle, você pode invocar osqtool diretamente, para substituir os intervalos padrão ou excluir verificações.

Testes locais de verificação

Execute make verify

Organização de Arquivos

• detection/ - Consultas de detecção de ameaças ajustadas para geração de alertas.
• policy/ - Consultas de política de segurança ajustadas para geração de alertas.
• incident_response/ - Coleta de dados para auxiliar na resposta a possíveis ameaças. Ajustadas para coleta periódica de evidências.

As consultas de detecção são divididas também por categorias de táticas do MITRE ATT&CK.

No momento do lançamento, as consultas são empacotadas no formato de pacote de consultas do osquery. Consulte Geração local de pacotes para obter informações sobre como gerar seus próprios pacotes a qualquer momento.

Estudos de Caso

Linux: Shikitega (setembro de 2022)

https://cybersecurity.att.com/blogs/labs-research/shikitega-new-stealthy-malware-targeting-linux

Aqui está uma lista parcial de quais consultas teriam disparado um alerta com base nessas consultas:

• Execução do Dropper Inicial, detectada por:
  • execution/tiny-executable-events.sql
  • execution/tiny-executable.sql
• Execução do Dropper do Próximo Estágio, detectada por:
  • execution/tiny-executable-events.sql
  • execution/tiny-executable.sql
  • execution/unexpected-shell-parents.sql
• Preparação da Escalada, detectada por:
  • execution/sketchy-fetchers.sql
  • execution/sketchy-fetcher-events.sql
  • c2/unexpected-talkers-linux.sql
  • c2/exotic-command-events.sql
  • c2/exotic-cmdline.sql
• Execução da Ferramenta de Escalada detectada por:
  • execution/unexpected-executable-permissions.sql
  • execution/unexpected-executable-directory-linux.sql
  • execution/unexpected-tmp-executables.sql
  • c2/exotic-command-events.sql
  • c2/exotic-cmdline.sql
  • initial_access/unexpected-shell-parents.sql
  • evasion/missing-from-disk-linux.sql
• Escalada de Privilégios detectada por:
  • privesc/unexpected-setxid-process.sql
  • privesc/unexpected-privilege-escalation.sql
  • privesc/events/unexpected-privilege-escalation-events.sql
  • evasion/name_path_mismatch.sql
• Persistência detectada por:
  • persistence/unexpected-cron-entries.sql
  • execution/unexpected-executable-directory-linux.sql

macOS: CloudMensis (abril de 2022)

https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/

Aqui está uma lista parcial dos estágios que teriam sido detectados por consultas específicas:

• Execução do Dropper Inicial, detectada por:

  • c2/unexpected-talkers-macos.sql

• Execução do Segundo Estágio, detectada por:

  • execution/unexpected-executable-directory-macos.sql
  • persistence/unexpected-launch-daemon-macos.sql
  • execution/unexpected-mounts.sql

• Bypass de TCC, detectado por:

  • evasion/unexpected-env-values.sql

• Execução do Agente Espião, detectada por:

  • c2/unexpected-talkers-macos.sql
  • execution/exotic-command-events.sql
  • execution/unexpected-executable-directory-macos.sql

Políticas

Contribuições

Precisa-se de Ajuda! Apoiamos novas consultas, desde que possam ser facilmente atualizadas para tratar falsos positivos.

Os usuários podem enviar exceções de falsos positivos para pacotes de software populares e conhecidos, mas podem ser solicitados a fornecer evidências do comportamento.

Suporte a Plataformas

Embora originalmente focado em Linux e macOS, apoiamos a adição de consultas em qualquer plataforma suportada pelo osquery.

Em particular, já nos perguntaram sobre suporte ao Windows: a Chainguard não tem máquinas Windows, mas se você tiver consultas para Windows que acha que seriam úteis e correspondam à nossa filosofia, ficaremos mais do que dispostos a aceitá-las!

Falsos Positivos

Nos esforçamos para excluir falsos positivos do mundo real de nossas consultas detection.

Gerenciar falsos positivos é mais fácil falar do que fazer - pull requests são bem-vindos!

Sobrecarga de CPU

No agregado, as consultas não devem consumir mais de 2% do tempo decorrido ao longo de um dia em um sistema implantado.

Intervalos

Os intervalos implantados são determinados automaticamente com base nas tags suportadas pelo osqtool, que usamos para a montagem dos pacotes.