auditd-attack

Набор правил Linux Auditd, сопоставленный с фреймворком MITRE ATT&CK

Отказ от ответственности

Пожалуйста, протестируйте эти правила перед внедрением в рабочую среду. Данный набор правил НЕ предназначен для включения всех правил одновременно (хотя это было бы идеально) — он создан как руководство для расширения покрытия обнаружения/охоты.

ВИКИ

ВИКИ

Особая благодарность:

Eric Gershman

iase.disa.mil

cyb3rops

ugurengin

checkraze

auditdBroFramework

@MITREattack

TODO

• Увеличить покрытие MITRE ATT&CK
• Протестировать правила на различных дистрибутивах Linux
• Определить влияние набора правил на производительность