keyboardcrunch/sentinelone-attack-queriesConsultas mapeadas para o MITRE ATT&CK no SentinelOne Deep Visiblity
Consultas do SentinelOne Deep Visibility mapeadas para o MITRE ATT&CK
Este projeto foi substituído pelo repositório SentinelOne-Queries, que evolui para assinaturas compartilháveis e para uso em ferramentas. O novo repositório é construído a partir do trabalho deste repositório e a maioria dos testes ainda é realizada contra o Atomic Red Team. Estas consultas não serão atualizadas, pois as detecções mudam entre versões do Agent, etc.
Este projeto tem como objetivo documentar consultas do SentinelOne Deep Visibility para detectar TTPs do Windows gerados pelo framework Atomic Red Team da Red Canary Co. Nem todas as técnicas documentadas no projeto Atomic Red Team terão consultas correspondentes; devido às fontes de dados limitadas no SentinelOne, algumas detecções serão limitadas; eventualmente expandiremos além do A.R.T. e passaremos a chamar estas simplesmente de consultas mapeadas para ATT&CK, mas gosto da ideia de ter um framework para testar essas detecções.
Estas consultas foram elaboradas e testadas na versão Liberty do console e devem ser compatíveis com o Deep Visibility 3.0. Recomenda-se que seus Agentes Sentinel estejam na versão 4.2.x ou superior, pois alguns dos dados de indicadores consultados só são coletados por agentes mais recentes.
