Threat-Hunting | Detection Engineering

Коллекция запросов для охоты за угрозами и обнаружения:

• CrowdStrike Falcon (с использованием CQL – CrowdStrike Query Language)
• Microsoft Defender XDR (с использованием KQL – Kusto Query Language)

Направлена на выявление подозрительных процессов, аномального сетевого поведения, исполняемых файлов "живущих на земле" (LOLBins), механизмов сохранения, доступа к учетным данным, горизонтального перемещения, C2-активности и потенциальных действий APT. Все запросы по возможности сопоставлены с техниками MITRE ATT&CK.

Запросы обновляются на основе последних отчетов об угрозах, новых кампаний и реальных наблюдений.

Что внутри

• /CrowdStrike/ → CQL-запросы для охоты Falcon Insight / LogScale / Next-Gen SIEM
• /KQL/ → KQL-запросы для Microsoft Defender for Endpoint, Defender XDR и Sentinel

Большинство запросов включают:

• сопоставление с MITRE ATT&CK
• краткие комментарии по сценарию использования
• настраиваемые параметры (временные окна, пороги, исключения)

Лицензия

Свободно для использования/изменения/распространения (авторство приветствуется).

Сделано с ❤️ Awais Munir

Вопросы? Откройте issue или свяжитесь в LinkedIn.