文件名称：chronicle_detection_public:公共编年史检测规则
文件大小：8KB
文件格式：ZIP
更新时间：2024-03-28 05:18:22
编年史检测引擎规则 这是什么？ 这是编年史检测规则的专用PUBLIC回购。 如果您对私有存储库感兴趣，请通过与我联系。 这些是由Dan Lussier研究和调查的Chronicle（ ）检测规则。 所有规则均已针对超大型数据集进行了验证，并且可以使用EDR日志粘贴到任何Chronicle环境中，诸如“ Process Launch类的命名可能需要是“ New Process否则它们应该整体起作用。 这些工作可以即插即用吗？ 其中一些，是的。 但总体而言，您需要检查EDR遥测并确保字段正确映射。 总体纪事的UDM应该相当一致，但有时某些字段可能无法正常工作。 我建议您查看租户中的普通EDR事件，然后将所有不正确匹配的字段匹配回去。 需要什么日志类型？ 对于大多数此类文件，您至少需要最少的EDR日志，并且少数还需要代理/ dns日志。 EDR有什么特别之处吗？ 这些规则中的大多
【文件预览】：
chronicle_detection_public-main
----.gitattributes(66B)
----detections()
--------windows_webserver_writing_aspx_file.yaral(883B)
--------exchange_hafnium_potential_exploitation.yaral(958B)
--------windows_webshell_activity.yaral(1KB)
----LICENSE(11KB)
----README.md(1KB)