Охотимся за угрозами и обнаруживаем их с помощью запросов KQL

  _  _____  _       _____ _   _ ____  _____    _  _____   _   _ _   _ _   _ _____ ___ _   _  ____ 
 | |/ / _ \| |     |_   _| | | |  _ \| ____|  / \|_   _| | | | | | | | \ | |_   _|_ _| \ | |/ ___|
 | ' | | | | |       | | | |_| | |_) |  _|   / _ \ | |   | |_| | | | |  \| | | |  | ||  \| | |  _ 
 | . | |_| | |___    | | |  _  |  _ <| |___ / ___ \| |   |  _  | |_| | |\  | | |  | || |\  | |_| |
 |_|\_\__\_|_____|   |_| |_| |_|_| \_|_____/_/   \_|_|   |_| |_|\___/|_| \_| |_| |___|_| \_|\____|
                                                                                                         

[!NOTE]
27 января: После почти года вкладов этот репозиторий проходит масштабную перестройку, чтобы соответствовать текущему ландшафту сообщества, а также обеспечить гораздо лучшую контекстуализацию для продолжения вкладов.

Этот репозиторий представляет собой попытку предоставить готовые запросы для обнаружения и охоты (и не только), чтобы помочь аналитикам и охотникам за угрозами использовать возможности KQL в Microsoft Sentinel и Microsoft Defender XDR.

• Обучение KQL
• Основы KQL
• Основы охоты за угрозами
• Сообщество KQL

Пожалуйста:

• Прочитайте Отказ от ответственности ниже.
• Если вы нашли здесь полезный запрос, подумайте о том, чтобы поставить ⭐ этому репозиторию.

Приятного использования, и пожалуйста, обращайтесь по любым вопросам и предложениям: cyb3rmik3.

Понравилась моя работа? Подумайте о том, чтобы угостить меня кофе! :)

---

Обучение KQL

Microsoft Security Operations Analyst Associate (SC-200)

Если Microsoft Sentinel и Microsoft 365 Defender — ваши ежедневные инструменты, вам стоит рассмотреть прохождение сертифицированного курса Microsoft для аналитика безопасности (код экзамена SC-200). Вы познакомитесь с широким спектром продуктов безопасности Microsoft и узнаете, как использовать их для предоставления данных, сигналов безопасности и анализа оповещений и инцидентов.

Тем не менее, вы можете перейти к курсу Microsoft, посвящённому KQL:

• Utilize KQL for Azure Sentinel
• Configure Azure Sentinel environment

Создание запросов в расширенном режиме

Экспертный курс Microsoft Defender XDR по расширенной охоте представляет собой подробное руководство для аналитиков безопасности и охотников за угрозами, позволяющее усовершенствовать их навыки в расширенной охоте. Обучение проводится в виде серии вебинаров под названиями «Tracking the Adversary» и «L33TSP3AK».

• Get expert training on advanced hunting

Практический KQL для охоты за угрозами и инженерии обнаружения

Мехмет Эргене (он же cyb3rmonk) основал академию blu raven, где предлагает следующие курсы по KQL, включая практический опыт в гиперреалистичной лабораторной среде.

• "Introduction to KQL for Security Analysis (FREE)"
• "Hands-On KQL for Threat Hunting and Detection Engineering"
• Hands-On Kusto Query Language (KQL) for Security Analysts

MustLearnKQL от Рода Трента

Род Трент создал серию MustLearnKQL — набор публикаций в блоге и видео на YouTube, представляющих собой попытку рассказать и обучить мощи и простоте языка запросов Kusto.

Обучение в формате CTF

• KC7 Cyber — это новый способ изучения кибербезопасности, который является практическим, увлекательным и интересным.
• Kusto Detective Agency — это набор задач, предназначенных для того, чтобы помочь вам изучить KQL.

Реагирование на инциденты в Microsoft Cloud

Invictus создал тренинг Incident Response in the Microsoft Cloud, который охватывает проведение реагирования на инциденты в Microsoft Azure и Microsoft 365. Он включает основы KQL, а также пакеты запросов KQL и более продвинутые сценарии использования и KQL-запросы для облачных атак.

---

Основы KQL

Выбор подходящей таблицы

Данные организованы в иерархию баз данных, таблиц и столбцов, аналогично SQL. Например, таблица DeviceNetworkEvents в схеме расширенного поиска содержит информацию о сетевых подключениях и связанных событиях.

Оператор where

where фильтрует по заданному предикату

DeviceNetworkEvents
| where LocalIP == "192.168.0.1"

contains/has

• Contains: ищет любое совпадение подстроки
• Has: ищет конкретное слово (лучшая производительность)

DeviceNetworkEvents
| where DeviceName has "ComputerName"

ago

Возвращает смещение времени относительно момента выполнения запроса

DeviceNetworkEvents
| where Timestamp > ago(1d)

project

Выбирает столбцы для включения в указанном порядке

DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl

Основы охоты за угрозами

Охота за угрозами в Microsoft

Охота за угрозами должна быть непрерывным процессом. Мы начинаем с вершины нашего цикла — с гипотезы. Гипотеза помогает нам спланировать, что именно мы будем искать, а для этого необходимо понимать, где мы будем вести охоту и как мы это сделаем. Это означает, что нам нужно разбираться в имеющихся у нас данных, инструментах, экспертизе и в том, как с ними работать. Цикл охоты не останавливается на выполнении самой охоты. На протяжении всего жизненного цикла нам предстоит пройти ещё несколько этапов, включая реагирование на аномалии. Даже если мы не обнаружим активную угрозу, останутся задачи, которые нужно выполнить. Подробнее.

MITRE ATT&CK

Подход к охоте состоит из двух компонентов: характеристика вредоносной активности и выполнение охоты. Эти компоненты должны быть постоянными видами деятельности, непрерывно обновляемыми на основе новой информации о противниках и среде. Подробнее.

---

Сообщество KQL

Вклад и обмен знаниями внутри сообщества имеют первостепенное значение, поскольку это создаёт среду сотрудничества, где мы все можем обмениваться идеями, проблемами и совместно развивать свою экспертизу. Ниже вы найдёте некоторые из сохранённых мной ресурсов сообщества.

KQL Search