cyb3rmik3/kql-threat-hunting-queriesUm repositório de consultas KQL focadas em caça a ameaças e detecção de ameaças para Microsoft Sentinel e Microsoft XDR (anteriormente Microsoft 365 Defender).
_ _____ _ _____ _ _ ____ _____ _ _____ _ _ _ _ _ _ _____ ___ _ _ ____
| |/ / _ \| | |_ _| | | | _ \| ____| / \|_ _| | | | | | | | \ | |_ _|_ _| \ | |/ ___|
| ' | | | | | | | | |_| | |_) | _| / _ \ | | | |_| | | | | \| | | | | || \| | | _
| . | |_| | |___ | | | _ | _ <| |___ / ___ \| | | _ | |_| | |\ | | | | || |\ | |_| |
|_|\_\__\_|_____| |_| |_| |_|_| \_|_____/_/ \_|_| |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
[!NOTE]
27 de janeiro: Após quase um ano de contribuições, este repositório está passando por uma grande reconstrução para atender ao cenário atual da comunidade e também a uma contextualização muito melhor, a fim de continuar contribuindo.
Este repositório é um esforço para fornecer consultas de detecção e caça a ameaças prontas para uso (e mais) para ajudar analistas e caçadores de ameaças a aproveitar o poder do KQL no Microsoft Sentinel e no Microsoft Defender XDR.
Por favor:
Aproveite e entre em contato para quaisquer dúvidas e sugestões: cyb3rmik3.
Se o Microsoft Sentinel e o Microsoft 365 Defender são suas ferramentas diárias, você deve considerar seguir o curso Certified Security Operations Analyst da Microsoft (código do exame SC-200). Você se familiarizará com a ampla gama de produtos de segurança da Microsoft e como usá-los para fornecer dados, sinais de segurança e analisar alertas e incidentes.
Dito isso, você pode mergulhar no curso da Microsoft focado em KQL:
O treinamento especializado em caça avançada do Microsoft Defender XDR oferece um guia abrangente para analistas de segurança e caçadores de ameaças aprimorarem suas habilidades em caça avançada. O treinamento é ministrado por meio de uma série de webcasts intitulados "Tracking the Adversary" e "L33TSP3AK".
Mehmet Ergene (também conhecido como cyb3rmonk) fundou a blu raven academy, onde oferece os seguintes cursos de treinamento em KQL, incluindo experiência prática em um ambiente de laboratório hiper-realista.
Rod Trent criou a série MustLearnKQL, que é um conjunto de posts de blog e vídeos no Youtube compondo um esforço para discutir e educar sobre o poder e a simplicidade da Kusto Query Language.
Invictus criou o treinamento Incident Response in the Microsoft Cloud, que aborda como realizar resposta a incidentes no Microsoft Azure e no Microsoft 365. Isso inclui fundamentos de KQL, mas também querypacks de KQL e casos de uso mais avançados e consultas KQL para ataques na nuvem.
Os dados são organizados em uma hierarquia de bancos de dados, tabelas e colunas, semelhante ao SQL. Por exemplo, a tabela DeviceNetworkEvents no esquema de busca avançada contém informações sobre conexões de rede e eventos relacionados.
where filtra com base em um predicado específico
DeviceNetworkEvents
| where LocalIP == "192.168.0.1"
DeviceNetworkEvents
| where DeviceName has "ComputerName"
Retorna o deslocamento de tempo relativo ao momento em que a consulta é executada
DeviceNetworkEvents
| where Timestamp > ago(1d)
Seleciona as colunas a incluir na ordem especificada
DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl
O threat hunting deve ser um processo contínuo. Começamos no topo do nosso ciclo com a nossa Hipótese. A nossa Hipótese ajuda-nos a planear o que vamos caçar, o que exige que compreendamos onde vamos caçar e como o faremos. Isto significa que precisamos de compreender os dados que temos, as ferramentas que temos, a experiência que temos e como trabalhar com eles. O ciclo de caça não termina quando executamos a caça. Ainda há várias fases que precisamos de conduzir ao longo do ciclo de vida, incluindo responder a anomalias. Mesmo que não encontremos uma ameaça ativa, haverá atividades a realizar. Mais.
A abordagem à caça tem dois componentes: Caracterização da atividade maliciosa e Execução da caça. Estes componentes devem ser atividades contínuas, atualizadas continuamente com base em novas informações sobre adversários e terreno. Mais.
Contribuir e partilhar dentro da comunidade é fundamental, pois fomenta um ambiente colaborativo onde todos podemos trocar conhecimentos, desafios e avançar coletivamente a nossa experiência. A seguir, encontrará alguns dos meus recursos comunitários guardados nos favoritos.