Osquery-ATT&CK 项目使用教程

Osquery-ATT&CK 项目使用教程

osquery-attck Mapping the MITRE ATT&CK Matrix with Osquery 项目地址: https://gitcode.com/gh_mirrors/os/osquery-attck

1. 项目目录结构及介绍

Osquery-ATT&CK 项目旨在将 MITRE ATT&CK 框架与 Osquery 工具相结合，用于企业级威胁狩猎。项目目录结构如下：

Osquery-ATT&CK/
├── docs/              # 文档目录
├── LICENSE.txt        # 项目许可证文件
├── README.md          # 项目说明文件
├── linux/             # Linux 系统的相关配置文件
│   ├── generic_linux.conf
│   ├── linux_network_connections.conf
│   ├── linux_running_processes.conf
│   ├── linux_local_job_scheduling.conf
│   ├── linux_command_execution.conf
│   ├── linux_home_root_hidden_file_directory.conf
│   ├── linux_relevant_folder_check.conf
│   ├── linux_users_check.conf
│   ├── linux_browser_extensions.conf
│   └── linux_kernel_modules_and_extensions.conf
└── windows/           # Windows 系统的相关配置文件
    ├── windows-registry-monitoring.conf
    ├── windows-incorrect_parent_process.conf
    ├── windows-incorrect_path_process.conf
    ├── windows-process_no_disk_binary.conf
    ├── windows_powershell_events.conf
    ├── windows_system_running_processes.conf
    ├── windows_persistence-startup_items.conf
    ├── windows_service-persistence.conf
    ├── windows_critical_service_status.conf
    ├── windows_scheduled_tasks.conf
    ├── windows_anomaly_process-execution.conf
    ├── windows_generic_detection.conf
    ├── windows_browsere-extensions.conf
    ├── windows_new_dir_relevant_infection_path.conf
    └── windows_new_file_relevant_infection_path.conf

目录说明：

• docs/: 存放项目文档的目录。
• LICENSE.txt: 项目使用的 Apache-2.0 许可证文件。
• README.md: 项目的说明文件，介绍了项目的基本信息和用途。
• linux/: 包含适用于 Linux 系统的配置文件。
• windows/: 包含适用于 Windows 系统的配置文件。

2. 项目的启动文件介绍

本项目没有特定的启动文件。项目主要通过配置文件来定义和执行查询。这些配置文件被 Osquery 读取，以执行特定的威胁狩猎查询。

3. 项目的配置文件介绍

配置文件是项目的核心部分，定义了各种查询和检测规则。以下是一些配置文件的简要介绍：

Windows 配置文件：

• windows-registry-monitoring.conf: 监控 Windows 注册表的变化，用于检测恶意持久性。
• windows-incorrect_parent_process.conf: 检查是否有攻击者或恶意软件以不正当方式执行合法进程。
• windows-incorrect_path_process.conf: 检查是否有攻击者或恶意软件在错误路径下执行合法进程。
• windows-process_no_disk_binary.conf: 检测没有磁盘文件的进程相关事件。
• windows_powershell_events.conf: 检测由 PowerShell 生成的事件。
• 其他配置文件提供了不同的检测功能，如系统进程监控、启动项检查、服务持久性、计划任务等。

Linux 配置文件：

• generic_linux.conf: 通用查询，用于 SIEM 侧的异常检测。
• linux_network_connections.conf: 检测系统的网络连接和监听端口。
• linux_running_processes.conf: 检测系统运行的进程列表。
• linux_local_job_scheduling.conf: 检测本地计划任务。
• linux_command_execution.conf: 检测用户在系统上的命令执行历史。
• 其他配置文件提供了不同的检测功能，如隐藏文件和目录的检测、用户账户的监控等。

每个配置文件都映射到 MITRE ATT&CK 框架中的特定技术，以便进行有效的威胁狩猎。在使用前，建议先在测试环境中调整查询间隔，并确保所有查询输出都发送到系统如 ELK 或 Splunk 以进行关联和警报。

osquery-attck Mapping the MITRE ATT&CK Matrix with Osquery 项目地址: https://gitcode.com/gh_mirrors/os/osquery-attck