ThreatHunting | Um aplicativo Splunk mapeado para MITRE ATT&CK para guiar suas caças a ameaças

Este é um aplicativo Splunk contendo vários dashboards e mais de 130 relatórios que facilitarão indicadores iniciais de caça para investigar.

Você obviamente precisa estar ingerindo dados do Sysmon no Splunk. Uma boa configuração pode ser encontrada aqui

Nota: Este aplicativo não é uma bala mágica; exigirá ajustes e trabalho investigativo real para ser verdadeiramente eficaz no seu ambiente. Tente se tornar amigo dos seus administradores de sistema. Eles serão capazes de explicar muitos dos indicadores inicialmente descobertos.

Grande crédito vai para MITRE por criar o framework ATT&CK!

Pull requests / tickets de issue e novas adições serão muito apreciados!

Mitre ATT&CK

Eu me esforço para mapear todas as buscas para o framework ATT&CK. Uma exportação atual do ATT&CK navigator de todas as configurações vinculadas é encontrada aqui e pode ser visualizada aqui

Ações necessárias após a implantação

• Siga todos os passos na página Sobre do aplicativo, certifique-se de que todos os requisitos sejam atendidos.
• Certifique-se de que o índice threathunting esteja presente nos seus indexadores
• Edite as macros para se adequar ao seu ambiente > https://YOURSPLUNK/en-US/manager/ThreatHunting/admin/macros (certifique-se de que o sourcetype está correto)
• O aplicativo é enviado sem arquivos de lookup whitelist, você precisará criá-los você mesmo. Isso é para que você não os sobrescreva acidentalmente em uma atualização do aplicativo.
• Instale os CSVs de lookup ou crie-os você mesmo. CSVs vazios estão aqui

Um guia passo a passo gentilmente escrito por Kirtar Oza pode ser encontrado aqui

Uso

Uma explicação mais detalhada de todas as funções pode ser encontrada aqui ou neste post do blog