Sentinel-attack

1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#

Sentinel-ATT&CK hoạt động như một lớp trung gian chuẩn hóa dữ liệu (Data Normalization Layer). Luồng dữ liệu bắt đầu từ các endpoint chạy Sysmon (được cấu hình bởi Sysmon-Modular), đẩy log về Azure Log Analytics. Tại đây, các KQL Parser (Sysmon-OSSEM) sẽ chuyển đổi dữ liệu thô thành các trường dữ liệu chuẩn hóa theo mô hình OSSEM, cho phép thực hiện các truy vấn Threat Hunting dựa trên kỹ thuật MITRE ATT&CK.

2. Ma Trận Đánh Giá & Điểm Khác Biệt#

So với các giải pháp thương mại, Sentinel-ATT&CK cung cấp khả năng tùy biến cao hơn cho các đội ngũ SOC muốn kiểm soát sâu vào logic phát hiện. Điểm vượt trội là khả năng ánh xạ trực tiếp từ log thô đến kỹ thuật tấn công, giúp giảm thời gian phản ứng (MTTR).

3. Hướng Dẫn Cài Đặt & Cấu Hình Chi Tiết#

1. Cài đặt Sysmon trên các máy trạm/server bằng cấu hình Sysmon-Modular.
2. Truy cập Azure Sentinel -> Logs.
3. Copy nội dung từ file Sysmon-OSSEM.txt trong repo.
4. Lưu dưới dạng Function với tên Sysmon.
5. Sử dụng Sysmon | where ... trong các truy vấn hunting.

4. Bảng Tra Cứu Tham Số & Flags Dòng Lệnh#

• Sysmon: Function chính để gọi dữ liệu đã chuẩn hóa.
• EventID: Lọc theo ID sự kiện Sysmon (ví dụ: 1 cho Process Creation, 3 cho Network Connection).
• TechniqueID: Sử dụng để lọc theo mã kỹ thuật MITRE ATT&CK trong các bảng ánh xạ.

5. Kịch Bản Thực Chiến#

• SOC Monitoring: Sử dụng parser để tạo các Alert Rule tự động dựa trên các kỹ thuật MITRE đã được ánh xạ.
• Threat Hunting: Thực hiện truy vấn Sysmon | where EventID == 1 | summarize count() by CommandLine để tìm kiếm các tiến trình bất thường trong môi trường doanh nghiệp.

6. Khuyến Nghị Tối Ưu & Phòng Ngừa Rủi Ro#

• Luôn kiểm tra tính tương thích của phiên bản Sysmon với cấu hình XML.
• Tránh chạy quá nhiều truy vấn hunting phức tạp cùng lúc để tối ưu chi phí Log Analytics.
• Định kỳ cập nhật các mapping MITRE ATT&CK theo các phiên bản mới nhất của khung ATT&CK.