Awesome-lists
mthcht/awesome-lists • YARA • MIT
Kho lưu trữ tập hợp các danh sách IOC, quy tắc phát hiện và tài nguyên Threat Hunting toàn diện dành cho kỹ sư SOC, DFIR và chuyên gia an ninh mạng.
An Toàn Chuỗi Cung Ứng: Đạt Tiêu Chuẩn
Dự án chủ yếu là tập hợp các danh sách dữ liệu (CSV/Markdown) và liên kết ngoài. Người dùng nên kiểm tra tính toàn vẹn của các script tự động cập nhật và xác thực nguồn dữ liệu trước khi nạp vào hệ thống SIEM/EDR để tránh rủi ro dữ liệu độc hại.
Cài đặt nhanh, Docker/Helm sẵn có, tài liệu mẫu đầy đủ
Tiết kiệm RAM/CPU khi quét lớn, tốc độ xử lý song song
Độ chính xác cao, ít false positive, tính năng mở rộng tốt
Bản vá CVE thường xuyên, cộng đồng bảo mật hỗ trợ tích cực
- •Mã nguồn mở minh bạch
- •Cộng đồng kiểm nghiệm rộng rãi
- •Tối ưu hóa hiệu năng tốt
- •Cần kiểm thử trước khi cấp quyền trên hệ thống Production
1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#
awesome-lists hoạt động như một kho tri thức tập trung (Knowledge Base) cho các kỹ sư an ninh. Cơ chế cốt lõi là cung cấp các tệp dữ liệu có cấu trúc (CSV, YAML) chứa các chỉ số thỏa hiệp (IOC) và các mẫu hành vi đáng ngờ. Luồng dữ liệu đi từ việc thu thập tự động (từ các nguồn threat intel uy tín) -> chuẩn hóa định dạng -> lưu trữ tại GitHub -> tích hợp vào hệ thống SOC thông qua API hoặc script.
2. Ma Trận Đánh Giá & Điểm Khác Biệt#
So với các giải pháp thương mại như Splunk ES hay CrowdStrike, công cụ này cung cấp sự linh hoạt tuyệt đối. Bạn không bị khóa vào hệ sinh thái của nhà cung cấp. Điểm vượt trội là tính 'cộng đồng' và khả năng tùy biến cao, cho phép tích hợp vào bất kỳ pipeline CI/CD hoặc SIEM nào với chi phí bằng 0.
3. Hướng Dẫn Cài Đặt & Cấu Hình Chi Tiết#
Để sử dụng, bạn chỉ cần clone repository: git clone https://github.com/mthcht/awesome-lists.git Sau đó, sử dụng các file CSV trong thư mục /Lists để nạp vào các công cụ như Splunk Lookup hoặc EDR Watchlist.
4. Bảng Tra Cứu Tham Số & Flags Dòng Lệnh#
Công cụ chủ yếu dựa trên dữ liệu tĩnh. Các tham số quan trọng nằm trong cấu trúc thư mục:
/Lists/TLDs: Chứa danh sách TLDs đáng ngờ./Lists/VPN: Chứa IP của các nhà cung cấp VPN phổ biến./Lists/Drivers: Chứa hash của các driver độc hại (LOLDrivers).
5. Kịch Bản Thực Chiến#
- Kịch bản 1 (SOC Monitoring): Sử dụng danh sách
suspiciousnamedpipe_list.csvđể tạo alert trên EDR (như Velociraptor hoặc Sysmon) nhằm phát hiện các kỹ thuật C2 ẩn mình. - Kịch bản 2 (Threat Hunting): Dùng danh sách
dyndns_list.csvđể lọc log DNS trong SIEM, tìm kiếm các kết nối outbound bất thường từ máy trạm nội bộ.
6. Khuyến Nghị Tối Ưu & Phòng Ngừa Rủi Ro#
- False Positives: Luôn kiểm tra kỹ danh sách trước khi đưa vào rule chặn (Blocklist). Khuyến nghị chỉ nên dùng để cảnh báo (Alert) trước khi chuyển sang chặn.
- An toàn chuỗi cung ứng: Vì đây là repo cộng đồng, hãy luôn kiểm tra file
README.mdvà các script cập nhật để đảm bảo không có mã độc được chèn vào các file thực thi hoặc script tự động.
Công Cụ Cùng Chuyên Mục blue_team
A list of useful payloads and bypass for Web Application Security and Pentest/CTF
SafeLine là giải pháp WAF mã nguồn mở hiệu năng cao, sử dụng kiến trúc reverse-proxy để bảo vệ ứng dụng web khỏi các cuộc tấn công phổ biến như SQLi, XSS, RCE và bot độc hại.
Wazuh là nền tảng XDR và SIEM mã nguồn mở toàn diện, cung cấp khả năng giám sát endpoint, phát hiện mối đe dọa, tuân thủ bảo mật và phản ứng sự cố tự động cho hạ tầng on-premises, cloud và container.