TLDR 框架

关于

本仓库包含与 GitLab 相关的威胁检测规则、示例日志事件、查询和响应流程的集合。TLDR（Threat、Logs、Detection、Respond，即威胁、日志、检测、响应）是一个综合框架，旨在增强对 GitLab 环境安全检测的理解和实施。本项目旨在为客户提供与 GitLab 相关的威胁态势/攻击面的整体视图，使其能够主动监控并保护其 GitLab 安装。这些检测旨在帮助安全团队提升与 GitLab 环境相关的威胁狩猎和事件响应能力。

目的

TLDR 框架满足了对于组织良好、全面的安全检测方法的需求。它帮助客户理解：

• 威胁本身
• 技术和业务影响
• 相关日志来源
• 事件结构
• 验证检测配置是否正确的方法
• 在发生真实阳性事件时如何响应的指导。

我们的目标是提升客户在检测和响应方面的体验，并为其提供应对与 GitLab 相关的安全事件所需的信息。

结构

每个 TLDR 检测遵循以下结构：

1. 关于：威胁概述
2. 威胁详情：
   • 技术细节/影响
   • 业务影响
3. 日志：
   • 所需日志来源
   • 示例事件日志
4. 检测：
   • SIGMA 规则或等效规则
   • 原始日志查询（适用于没有 SIEM 的环境）
5. 原子测试：复现威胁以进行测试的说明
6. 响应：处理已检测威胁的指导
7. 参考资料：其他资源和文档

示例检测

有关示例 TLDR 检测，请参见 Maintainer or Owner Permission Added to a Project。

优势

• 全面理解威胁及其影响
• 关于日志来源和检测方法的清晰指导
• 实用的响应策略
• 改善 GitLab 环境的安全态势

联系方式

如有问题或反馈，请在 TLDR 项目中提交 issue。

免责声明

本仓库提供的信息仅供教育和参考之用。它不意图、也不应被解释为法律建议或安全保证。本项目的作者和贡献者对本文所含信息的完整性、准确性、可靠性、适用性或可用性不作任何明示或暗示的陈述或保证。

您对此类信息的任何依赖均完全由您自行承担风险。作者和贡献者对因使用此信息或实施本仓库中概述的任何检测规则或响应流程而产生的任何损失或损害不承担责任。

用户有责任确保其对信息、检测规则和响应流程的使用符合所有适用的法律、法规和组织政策。强烈建议在生产环境中实施任何检测规则或流程之前，先在受控环境中对其进行彻底测试和验证。

用户应自行判断，并在必要时寻求专业建议，以确定在特定情境下实施所提供信息的适当性。

使用本仓库中的信息即表示您承认并同意这些条款和条件。

用法

每个检测都以其各自平台或数据源文件夹中的单独文件形式提供。检测通常以 Sigma 格式编写，整体文件以 markdown 格式编写。您可以使用 SIG Converter 上提供的 SIGMA 到 SIEM 转换工具，将 Sigma 格式规则转换为特定于 SIEM 的语言。

要使用这些检测：

1. 导航到相应的 /detections 文件夹。
2. 查看文件中的检测规则或查询。
3. 如有必要，根据你的具体环境调整检测规则。
4. 在你的安全信息和事件管理（SIEM）系统或其他相关安全工具中实施该检测规则。

贡献

欢迎为本仓库做出贡献！如果你有新的检测规则或对现有规则的改进，请按照以下步骤操作：

1. Fork 本仓库。
2. 为你的更改创建一个新分支。
3. 添加你的检测规则或对现有规则进行改进。
4. 确保你的检测规则有完善的文档说明，并包含任何必要的背景信息或参考资料。
5. 提交一个合并请求，并清晰描述你的更改。

许可证

本项目采用 MIT 许可证。详情请参阅 LICENSE 文件。