keyboardcrunch/sentinelone-attack-queriesСопоставленные с MITRE ATT&CK запросы для SentinelOne Deep Visiblity
MITRE ATT&CK сопоставленные запросы для SentinelOne Deep Visiblity
Этот проект был заменён репозиторием SentinelOne-Queries, который развивается в сторону общедоступных сигнатур и применения в инструментарии. Новый репозиторий построен на основе работы из этого репозитория, и большинство тестов по-прежнему выполняется с использованием Atomic Red Team. Эти запросы не будут обновляться, поскольку детекты меняются между версиями агентов и т.д.
Этот проект предназначен для документирования запросов SentinelOne Deep Visibility для обнаружения Windows TTP, генерируемых фреймворком Atomic Red Team от Red Canary Co. Не все техники, описанные в проекте Atomic Red Team, будут иметь соответствующие запросы: из-за ограниченности источников данных в SentinelOne некоторые детекты будут ограничены; со временем мы выйдем за рамки A.R.T. и будем называть эти запросы просто сопоставленными с ATT&CK, но мне нравится идея наличия фреймворка для тестирования этих детектов.
Эти запросы были созданы и протестированы на версии консоли Liberty и должны поддерживать Deep Visibility 3.0. Рекомендуется, чтобы ваши агенты Sentinel были версии 4.2.x или новее, так как некоторые данные индикаторов, к которым обращаются запросы, собираются только новыми агентами.
