Hunting-Queries-Detection-Rules

1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#

Đây là một kho lưu trữ tri thức (Knowledge Base) dưới dạng các truy vấn KQL. Cơ chế hoạt động dựa trên việc truy vấn các bảng dữ liệu (tables) trong Microsoft Sentinel hoặc Advanced Hunting (Defender XDR). Luồng dữ liệu đi từ các nguồn log (Endpoint, Identity, Office 365, Cloud) -> Log Analytics Workspace -> KQL Engine -> Kết quả phân tích.

2. Ma Trận Đánh Giá & Điểm Khác Biệt#

So với các giải pháp SIEM thương mại, bộ công cụ này cung cấp sự linh hoạt tuyệt đối. Trong khi các giải pháp thương mại thường khóa chặt các quy tắc phát hiện (black-box), kho lưu trữ này cho phép kỹ sư SOC tùy chỉnh logic, tối ưu hóa hiệu năng và hiểu rõ bản chất của từng cảnh báo.

3. Hướng Dẫn Cài Đặt & Cấu Hình#

Không cần cài đặt phần mềm. Người dùng chỉ cần clone repository: git clone https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git Sau đó, sao chép nội dung truy vấn KQL vào tab 'Advanced Hunting' trong portal security.microsoft.com hoặc 'Logs' trong Microsoft Sentinel.

4. Bảng Tra Cứu Tham Số Trọng Yếu#

• ago(7d): Giới hạn thời gian truy vấn trong 7 ngày qua.
• take 10: Giới hạn kết quả trả về để kiểm tra logic.
• summarize count() by: Gom nhóm dữ liệu để phát hiện bất thường (anomaly detection).
• join: Kết hợp dữ liệu từ nhiều bảng (ví dụ: DeviceEvents và DeviceProcessEvents).

5. Kịch Bản Thực Chiến#

• Kịch bản 1 (SOC Monitoring): Sử dụng các truy vấn trong thư mục Defender XDR để tạo các 'Custom Detection Rules' tự động tạo incident khi phát hiện hành vi PowerShell đáng ngờ.
• Kịch bản 2 (Threat Hunting): Sử dụng các truy vấn trong Threat Hunting Cases để tìm kiếm dấu vết của các nhóm APT dựa trên các báo cáo tình báo mới nhất (TI Feeds).

6. Khuyến Nghị Tối Ưu#

• Luôn kiểm tra TimeGenerated vs Timestamp tùy theo môi trường.
• Sử dụng project để lọc các cột cần thiết nhằm giảm chi phí xử lý dữ liệu.
• Kiểm tra kỹ các quy tắc trước khi chuyển từ 'Hunting' sang 'Detection' để tránh spam cảnh báo cho đội ngũ trực SOC.