Splunk Attack_Data 项目使用教程

Splunk Attack_Data 项目使用教程

attack_data A repository of curated datasets from various attacks 项目地址: https://gitcode.com/gh_mirrors/at/attack_data

1. 项目目录结构及介绍

Splunk Attack_Data 项目是一个包含了各种攻击场景数据集的仓库，用于帮助安全研究人员和开发人员测试和验证他们的检测工具。以下是项目的目录结构及其简要介绍：

• datasets/：存储各种攻击技术的数据集文件。
• environments/：包含数据集收集的环境描述。
• .gitattributes：定义Git属性。
• .gitignore：指定Git应该忽略的文件和目录。
• LICENSE：项目的Apache-2.0许可文件。
• README.md：项目说明文件。
• testfile.txt：测试文件。

2. 项目的启动文件介绍

项目的启动主要通过命令行操作。以下是一些基本的启动命令：

# 克隆项目
git clone https://github.com/splunk/attack_data.git

# 进入项目目录
cd attack_data

3. 项目的配置文件介绍

项目的配置主要通过replay.yml文件进行。这个文件包含了数据重放的相关配置，如下所示：

# replay.yml 示例配置
replay:
  sourcetypes:
    - XmlWinEventLog:Microsoft-Windows-Sysmon/Operational
    - WinEventLog:Microsoft-Windows-PowerShell/Operational
    - WinEventLog:System
    - WinEventLog:Security
  datasets:
    - datasets/attack_techniques/T1003.001/atomic_red_team/windows-sysmon.log

在这个配置文件中，你可以指定要重放的数据集文件以及相应的数据源类型（sourcetypes）。配置完成后，可以通过以下命令启动数据重放：

# 运行数据重放
python bin/replay.py -c bin/replay.yml

以上步骤将帮助用户理解如何使用Splunk Attack_Data项目来重放攻击数据集，并进行安全检测的测试和验证。

attack_data A repository of curated datasets from various attacks 项目地址: https://gitcode.com/gh_mirrors/at/attack_data