Структурированное руководство по охоте на угрозы с использованием журналов Zeek, согласованное с фреймворком MITRE ATT&CK для упреждающего обнаружения тактик и техник противника.
Этот репозиторий служит рабочими данными для Руководства Corelight по охоте за угрозами. Исходный текст, поддерживаемый здесь, периодически проходит редактирование, вёрстку и графический дизайн, после чего публикуется в виде PDF-файла и распространяется компанией Corelight, Inc. («Corelight»). Чёткого графика для этих действий нет, но исторически новый выпуск выходит каждые шесть-двенадцать месяцев.
Если вы хотите получить самую последнюю версию Руководства Corelight по охоте за угрозами, вы можете найти её здесь.
PDF-версия представляет собой снимок содержимого на момент публикации и может не содержать всего содержимого этого репозитория.
Эта работа поддерживается Corelight и членами сообщества Corelight, и, хотя в ней упоминаются проект Zeek и журналы Zeek, она не является частью проекта Zeek (хотя любой участник сообщества пользователей Zeek может внести сюда свой вклад).
Вся работа поддерживается в рамках лицензии Creative Commons Attribution-NonCommercial-ShareAlike. Пожалуйста, прочитайте эту лицензию, поймите её и решите, согласны ли вы с ней, прежде чем решать, вносить ли вклад в этот проект. Если вы вносите вклад в проект, вы соглашаетесь с условиями лицензии.
Corelight, Inc. владеет этой работой, и она используется в маркетинговых целях Corelight (например, вебинары, печатные материалы, тексты на веб-сайте). Любое содержимое, которое вы вносите сюда, может использоваться для этих целей. Это содержимое не может использоваться в коммерческих целях какой-либо другой организацией, кроме Corelight, Inc.
Corelight, Inc. сохраняет за собой право свободно отмечать участников, перечисленных в файле CREDITS в этом репозитории, и публиковать в электронном и печатном виде их посты, изображения и имена из GitHub. Если вы хотите, чтобы ваш вклад был отмечен, укажите своё имя в .
Содержимое здесь можно свободно распространять.
Corelight, Inc. сохраняет редакционный контроль над содержимым здесь. Все вклады будут рассмотрены, но Corelight оставляет за собой право:
Однако люди, составляющие Corelight, — это именно люди. Мы делимся этим содержимым с миром, потому что хотим взаимодействия с сообществом. Мы хотим, чтобы наши клиенты и члены сообщества Zeek сообщали нам, если что-то технически неточно или если конкретная охота за угрозами не работает в их сети или в определённом масштабе, потому что эта информация принесёт пользу всем, кто прочитает это руководство в будущем.
Есть два основных способа внести вклад:
Где это возможно, вклад должен быть согласован с структурой MITRE ATT&CK. Каждая тактика ATT&CK (цель или фаза) размещается в отдельной папке, пронумерованной в соответствии с нумерацией MITRE. Внутри каждой папки тактики находится файл для каждой техники. Файлы техник должны иметь префикс, соответствующий номеру техники, присвоенному MITRE.
| Рекомендация | Markdown | Результат |
|---|---|---|
| Имена журналов должны быть отформатированы моноширинным текстом и обозначаться по имени журнала, а не по имени файла на диске | Проверьте журнал `conn`... | Проверьте журнал conn... |
| Имена полей также должны быть отформатированы моноширинным текстом | Поле `cookie` иногда может содержать имя пользователя... | Поле cookie иногда может содержать имя пользователя... |
| Литералы значений также должны быть отформатированы моноширинным текстом | Если количество байт равно `532`, то... | Если количество байт равно 532, то... |
