chronicle_detection_public:公共编年史检测规则 源码

编年史检测引擎规则 这是什么? 这是编年史检测规则的专用PUBLIC回购。 如果您对私有存储库感兴趣,请通过与我联系。 这些是由Dan Lussier研究和调查的Chronicle( )检测规则。 所有规则均已针对超大型数据集进行了验证,并且可以使用EDR日志粘贴到任何Chronicle环境中,诸如“ Process Launch类的命名可能需要是“ New Process否则它们应该整体起作用。 这些工作可以即插即用吗? 其中一些,是的。 但总体而言,您需要检查EDR遥测并确保字段正确映射。 总体纪事的UDM应该相当一致,但有时某些字段可能无法正常工作。 我建议您查看租户中的普通EDR事件,然后将所有不正确匹配的字段匹配回去。 需要什么日志类型? 对于大多数此类文件,您至少需要最少的EDR日志,并且少数还需要代理/ dns日志。 EDR有什么特别之处吗? 这些规则中的大多