TelemetrySource

该项目旨在映射来自各种遥测源中负责触发事件的功能。

主要映射表：事件映射 Google Sheet

目前已映射的源：

Sysmon

Windows 安全事件 (Microsoft-Windows-Security-Auditing)

威胁情报事件 (Microsoft-Windows-Threat-Intelligence)

• 每个源都有自己的 README 文件，其中包含理解映射工作方式所需的信息。

博客：

我已就“将这些事件追踪到 API”的方法撰写了几篇文章，如果您感兴趣，请阅读：

• Uncovering Windows Events - Part 1: TelemetrySource
• Uncovering Windows Events - Part 2: The Methodology
• Uncovering Windows Events - Part 3: Threat Intelligence ETW

反馈：

如果有人对如何以不同方式公开这些数据以更好地帮助防御者有任何建议，或提出任何其他反馈，请随时联系！这个项目的目标是帮助防御者了解数据是如何生成的，以便我们在利用这些数据做决策时更加明智。

待办事项：

• 更新 Sysmon 至 v14
• 扩展 Microsoft-Windows-Security-Auditing 中的事件
• 添加其他 ETW 提供程序