Фреймворк TLDR

О проекте

Этот репозиторий содержит набор правил обнаружения угроз, примеры событий журналов, запросы и процедуры реагирования, связанные с GitLab. TLDR (Threat, Logs, Detection, Respond — угроза, журналы, обнаружение, реагирование) — это комплексный фреймворк, предназначенный для улучшения понимания и внедрения средств обнаружения угроз безопасности в средах GitLab. Цель проекта — предоставить клиентам целостное представление о ландшафте угроз и поверхности атаки, связанных с GitLab, что позволит им проактивно отслеживать и защищать свои установки GitLab. Эти средства обнаружения призваны помочь командам безопасности улучшить возможности охоты за угрозами и реагирования на инциденты в средах GitLab.

Назначение

Фреймворк TLDR отвечает потребности в хорошо организованном и комплексном подходе к обнаружению угроз безопасности. Он помогает клиентам понять:

• Саму угрозу
• Технические и бизнес-последствия
• Соответствующие источники журналов
• Структуру событий
• Способы проверки правильности настройки обнаружения
• Рекомендации по реагированию в случае события с истинным срабатыванием.

Наша цель — улучшить опыт клиентов в части обнаружения и реагирования и предоставить им необходимую информацию для реагирования на инциденты безопасности, связанные с GitLab.

Структура

Каждое обнаружение TLDR имеет следующую структуру:

1. О проекте: обзор угрозы
2. Сведения об угрозе:
   • Технические подробности/воздействие
   • Влияние на бизнес
3. Журналы:
   • Необходимые источники журналов
   • Примеры событий журналов
4. Обнаружение:
   • Правило SIGMA или эквивалент
   • Запрос к исходным журналам (для сред без SIEM)
5. Атомарный тест: инструкции по воспроизведению угрозы для тестирования
6. Реагирование: рекомендации по обработке обнаруженной угрозы
7. Ссылки: дополнительные ресурсы и документация

Пример обнаружения

Пример обнаружения TLDR см. в разделе Maintainer or Owner Permission Added to a Project.

Преимущества

• Комплексное понимание угроз и их воздействия
• Чёткие рекомендации по источникам журналов и методам обнаружения
• Практические стратегии реагирования
• Улучшенная защищённость сред GitLab

Контакты

По вопросам или для обратной связи, пожалуйста, создайте issue в проекте TLDR.

Отказ от ответственности

Информация, представленная в этом репозитории, предназначена исключительно для образовательных и информационных целей. Она не является и не должна рассматриваться как юридическая консультация или гарантия безопасности. Авторы и участники этого проекта не дают никаких заверений или гарантий, явных или подразумеваемых, относительно полноты, точности, надёжности, пригодности или доступности содержащейся здесь информации.

Любое использование вами такой информации осуществляется исключительно на ваш собственный риск. Авторы и участники не несут ответственности за любые убытки или ущерб, возникшие в результате использования этой информации или внедрения любых правил обнаружения или процедур реагирования, описанных в этом репозитории.

Пользователи несут ответственность за обеспечение того, чтобы их использование информации, правил обнаружения и процедур реагирования соответствовало всем применимым законам, нормативным актам и политикам организации. Настоятельно рекомендуется тщательно тестировать и проверять любые правила обнаружения или процедуры в контролируемой среде перед их внедрением в производственной среде.

Пользователям следует проявлять собственное суждение и при необходимости обращаться за профессиональной консультацией, чтобы определить целесообразность применения любой из предоставленных сведений в их конкретном контексте.

Используя информацию из этого репозитория, вы подтверждаете и соглашаетесь с этими условиями.

Использование

Каждое обнаружение предоставляется в отдельном файле в папке соответствующей платформы или источника данных. Обнаружения обычно написаны в формате Sigma, а весь файл написан в формате markdown. Вы можете преобразовать правило формата Sigma в язык, специфичный для SIEM, с помощью инструментов преобразования SIGMA в SIEM, доступных на SIG Converter.

Чтобы использовать эти обнаружения:

1. Перейдите в соответствующую папку /detections.
2. Изучите правило обнаружения или запрос в файле.
3. При необходимости адаптируйте обнаружение к вашей конкретной среде.
4. Внедрите обнаружение в вашей системе управления информацией и событиями безопасности (SIEM) или других соответствующих инструментах безопасности.

Участие в проекте

Мы приветствуем вклад в этот репозиторий! Если у вас есть новые правила обнаружения или улучшения существующих, выполните следующие шаги:

1. Сделайте форк репозитория.
2. Создайте новую ветку для ваших изменений.
3. Добавьте ваше правило обнаружения или внесите улучшения в существующие.
4. Убедитесь, что ваше обнаружение хорошо задокументировано и включает необходимый контекст или ссылки.
5. Отправьте запрос на слияние с чётким описанием ваших изменений.

Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.