df00tech/mitre-attack-detections
GitHub: df00tech/mitre-attack-detections
为七种主流 SIEM 平台提供 728 条与 MITRE ATT&CK 技术映射的生产就绪检测规则，帮助安全团队快速部署跨平台威胁检测能力。
Stars: 3 | Forks: 2
# MITRE ATT&CK 检测规则 — KQL · SPL · EQL（7 种 SIEM）
适用于 **7 种 SIEM 平台** 的生产就绪、映射 MITRE ATT&CK 的检测规则 — Microsoft Sentinel (KQL)、Splunk (SPL)、Elastic Security (EQL)、IBM QRadar (AQL)、Sumo Logic、Google Chronicle (YARA-L) 和 CrowdStrike LogScale (CQL)。每项检测都包含数据源、所需表、误报指南、置信度和严重性。
由 **[df00tech](https://df00tech.com/detections/)** 构建并维护 — 请访问 **[df00tech.com](https://df00tech.com/detections/)** 浏览完整的可搜索库、ATT&CK 矩阵和 Pro 紫队（purple-team）包。
## 快速开始
**获取原生查询** — 随时准备粘贴到您的 SIEM 中：
```
queries/kql/T1059.001.kql ← Microsoft Sentinel
queries/spl/T1059.001.spl ← Splunk
queries/elastic/T1059.001.eql ← Elastic Security
queries/qradar/T1059.001.aql ← IBM QRadar
queries/sumo-logic/T1059.001.txt ← Sumo Logic
queries/chronicle/T1059.001.yaral← Google Chronicle
queries/logscale/T1059.001.cql ← CrowdStrike LogScale
```
**浏览元数据** — 按 tactic 组织的完整检测 JSON 位于 `detections//.json`。
文件以 MITRE ATT&CK ID 命名（例如 `T1059.001`）— 请使用 `grep`、GitHub 搜索或您的文件浏览器进行查找。
## 目录结构
```
├── queries/ Native query files, one dir per SIEM
│ ├── kql/ spl/ elastic/ qradar/ sumo-logic/ chronicle/ logscale/
├── detections/ Full detection JSON organised by ATT&CK tactic
├── scripts/ Generation tooling
├── LICENSE MIT
└── CONTRIBUTING.md How to submit improvements
```
## 覆盖范围 — 涵盖 14 种 tactic 的 728 项检测
| Tactic | 检测数量 |
|--------|-----------|
| Initial Access | 36 |
| Execution | 62 |
| Persistence | 133 |
| Privilege Escalation | 112 |
| Defense Evasion | 221 |
| Credential Access | 77 |
| Discovery | 50 |
| Lateral Movement | 28 |
| Collection | 43 |
| Exfiltration | 20 |
| Command and Control | 47 |
| Impact | 34 |
| Resource Development | 47 |
| Reconnaissance | 45 |
## 检测 JSON schema
每个 `detections//.json` 包含：
| 字段 | 描述 |
|-------|-------------|
| `id` / `name` / `parentId` | MITRE ATT&CK 技术 ID、名称、父级 |
| `tacticIds` | MITRE tactic ID |
| `description` | 该技术的具体作用 |
| `kql`, `spl`, `elastic_eql`, `qradar_aql`, `sumo_logic`, `chronicle_yaral`, `crowdstrike_cql` | 各平台查询与元数据 |
| `references` / `mitreSources` / `lastUpdated` | 出处 |
每个平台对象都包含 `query`、`description`、`dataSources`、所需表/数据源、`falsePositives`、`confidence` 和 `severity`。
## Pro 功能（df00tech.com）
此仓库为免费层级。**[df00tech.com](https://df00tech.com/detections/pricing)** 为安全团队提供以下额外功能：
- **Response playbooks** — 分流、遏制、证据收集
- **Investigation & hunting 查询** — 取证 artifact 与调优指南
- **Atomic Red Team 测试** — 经过验证的命令，包含预期的遥测数据和清理操作
- **批量导出与 API 访问权限** — 涵盖所有平台上的所有检测
请参阅 **[df00tech.com/detections/pricing](https://df00tech.com/detections/pricing)** — Pro 每月 29 英镑，MSP Pack 每月 299 英镑。
## 许可证
MIT — 详见 [LICENSE](LICENSE)。
*由 [df00tech.com](https://df00tech.com/detections/) 维护 — 为防御者提供检测工程。*
标签：AMSI绕过, EQL, Homebrew安装, KQL, SPL, 威胁检测, 安全运营, 扫描框架