使用 KQL 查询进行威胁狩猎/检测

  _  _____  _       _____ _   _ ____  _____    _  _____   _   _ _   _ _   _ _____ ___ _   _  ____ 
 | |/ / _ \| |     |_   _| | | |  _ \| ____|  / \|_   _| | | | | | | | \ | |_   _|_ _| \ | |/ ___|
 | ' | | | | |       | | | |_| | |_) |  _|   / _ \ | |   | |_| | | | |  \| | | |  | ||  \| | |  _ 
 | . | |_| | |___    | | |  _  |  _ <| |___ / ___ \| |   |  _  | |_| | |\  | | |  | || |\  | |_| |
 |_|\_\__\_|_____|   |_| |_| |_|_| \_|_____/_/   \_|_|   |_| |_|\___/|_| \_| |_| |___|_| \_|\____|

[!NOTE]
1月27日：经过近一年的贡献，本仓库正在进行大规模重建，以适应当前的社区环境，并更好地进行情境化梳理，从而持续保持贡献。

本仓库致力于提供现成的检测与狩猎查询（以及更多内容），帮助分析师和威胁狩猎者充分利用 KQL 在 Microsoft Sentinel 和 Microsoft Defender XDR 中的强大能力。

KQL 培训
KQL 基础
威胁狩猎基础
KQL 社区

请：

阅读下方的免责声明。
如果你在这里找到了有用的查询，请考虑给本仓库点个 ⭐。

祝你使用愉快，如有任何疑虑和建议，欢迎联系：cyb3rmik3。

喜欢我的工作？请我喝杯咖啡吧！ :)

KQL 培训

Microsoft 安全运营分析师助理（SC-200）

如果 Microsoft Sentinel 和 Microsoft 365 Defender 是你日常使用的工具，你应该考虑参加 Microsoft 认证安全运营分析师课程（考试代码 SC-200）。你将熟悉 Microsoft 广泛的安全产品，以及如何利用它们提供数据、安全信号并分析警报和事件。

即便如此，你也可以直接学习 Microsoft 专注于 KQL 的课程：

在高级模式下创建查询

Microsoft Defender XDR 高级狩猎专家培训为安全分析师和威胁狩猎者提供全面指南，帮助他们提升高级狩猎技能。该培训通过一系列名为“Tracking the Adversary”和“L33TSP3AK”的网络研讨会进行。

Get expert training on advanced hunting

面向威胁狩猎和检测工程的动手 KQL

Mehmet Ergene（又名 cyb3rmonk）创立了 blu raven academy，在那里他提供以下 KQL 培训课程，包括在超逼真实验环境中的动手实践。

Rod Trent 的 MustLearnKQL

Rod Trent 创建了 MustLearnKQL 系列，这是一组博客文章和 YouTube 视频，旨在讨论和普及 Kusto 查询语言的强大与简洁。

类似 CTF 的学习方式

KC7 Cyber 是一种学习网络安全的新方式，动手实践、有趣且引人入胜。
Kusto Detective Agency 是一组旨在帮助你学习 KQL 的挑战。

Microsoft 云中的事件响应

Invictus 创建了 Microsoft 云中的事件响应培训课程，内容涵盖如何在 Microsoft Azure 和 Microsoft 365 中开展事件响应。该课程包括 KQL 基础知识，还涉及 KQL 查询包，以及针对云攻击的更高级用例和 KQL 查询。

KQL 基础

选择合适的表

数据按数据库、表和列的层级结构组织，类似于 SQL。例如，高级搜寻架构中的 DeviceNetworkEvents 表包含有关网络连接及相关事件的信息。

where 运算符

where 根据特定谓词进行筛选

DeviceNetworkEvents
| where LocalIP == "192.168.0.1"

contains/has

Contains：查找任意子字符串匹配
Has：查找特定单词（性能更好）

DeviceNetworkEvents
| where DeviceName has "ComputerName"

ago

返回相对于查询执行时间的偏移量

DeviceNetworkEvents
| where Timestamp > ago(1d)

project

按指定顺序选择要包含的列

DeviceNetworkEvents
| where Timestamp > ago(1d)
| where DeviceName has "ComputerName"
| project Timestamp, ActionType, RemoteIP, RemotePort, RemoteUrl

威胁狩猎基础

Microsoft 威胁狩猎

威胁狩猎应当是一个持续的过程。我们从循环的起点——假设（Hypothesis）开始。假设帮助我们规划要狩猎什么，这要求我们理解将在哪里狩猎以及如何狩猎。这意味着我们需要了解我们拥有的数据、工具、专业知识，以及如何运用它们。狩猎循环并不会在我们执行狩猎后就停止。在整个生命周期中，仍有若干阶段需要执行，包括对异常做出响应。即使我们没有发现活跃的威胁，也有活动需要执行。更多。

MITRE ATT&CK

狩猎方法包含两个组成部分：恶意活动的特征描述，以及狩猎执行。这些组成部分应当是持续进行的活动，并根据有关对手和环境的新信息不断更新。更多。

KQL 社区

在社区中贡献和分享至关重要，因为它营造了一个协作环境，让我们所有人都能交流见解、挑战，并共同提升我们的专业能力。以下是我收藏的一些社区资源。

KQL Search

KQL Search 是由 Ugur Koc 创建的项目，它汇集了 KQL 社区成员为 Microsoft Sentinel 和 Microsoft Defender XDR 贡献查询的 GitHub 仓库。本仓库也被收录其中，与其他受人尊敬的成员一道，为使用 Microsoft 安全技术栈构建更好的防御而努力。

书签

[!WARNING]
本 GitHub 仓库中的 KQL 查询仅供参考之用。用户对其使用负全部责任，并应谨慎行事。建议在生产环境中实施这些查询之前，彻底理解并测试它们。

KQL-threat-hunting-queries

最受欢迎