Azure Sentinelでのモダンハンティング - リンク集

Azure Sentinelに関するリンクを集めてみました、特にPython, JupyterNotebookを利用した攻撃分析に関するリンクを貼っていきます。

Azure Sentinelの面白い所は、Python及びそのライブラリを分析に利用できる為、既存のAPIを利用したり、独自のAPIを開発したり、共有したりと面白い展開になりつつあります。ここでは、AzureのUI操作やOutofBox機能には注目せず、AI関連の環境とライブラリをどう駆使して、攻撃分析に利用するのかが記載されてるリンクを貼っていきます。

製品ステータス：プレビュー

##Azure Sentinel 公式サイト

[Azure Sentinel製品サイト](https://azure.microsoft.com/en-us/services/azure-sentinel/)
[Azure Sentinelドキュメントサイト](https://docs.microsoft.com/en-us/azure/sentinel/)
設定、UI操作、チュートリアル等はこちら

[GitHub: Azure Sentinel](https://github.com/Azure/Azure-Sentinel)
既存で出来る検知手法, Exploitation, ハンティングクエリ, Playbook等が格納されています。
[Azure Tech Community](https://techcommunity.microsoft.com/t5/Azure-Sentinel/bd-p/AzureSentinel)
エンジニアと会話出来るサイト(未確認です)。最新情報あり！

[Azure Log Analytics サイト](https://github.com/yokawasa/logstash-output-azure_loganalytics)
[Azure Monitor サイト](https://docs.microsoft.com/en-us/azure/azure-monitor/)
[Kusto Query Language (KQL) Reference サイト](https://docs.microsoft.com/en-us/azure/kusto/query/index)

##気の利いたクエリ
https://gist.github.com/JohnLaTwC/5eb27b85960f830b6f557fa6ccc43be5
Azure Sentinel Password spray query(未確認)

##AIを利用した検知系
[Machine Learning powered detections with Kusto query language in Azure Sentine](https://azure.microsoft.com/en-gb/blog/ml-powered-detections-with-kusto-query-language-in-azure-sentinel/)
[Time series analysis applied in a security hunting context](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Time-series-analysis-applied-in-a-security-hunting-context/ba-p/472433)
KQL検索クエリを利用した分析
[Looking for unknown anomalies - what is normal? Time Series analysis & its applications in Security]
(https://techcommunity.microsoft.com/t5/Azure-Sentinel/Looking-for-unknown-anomalies-what-is-normal-Time-Series/ba-p/555052#.XNzueM7auHM.twitter)
異常を検知したい時、時系列分析をどこで使うか

##Threat Intelligentとの統合系
[Azure Sentinel — MineMeld. Bring Your Own Threat Intelligence feeds](https://medium.com/@antonio.formato/azure-sentinel-minemeld-bring-your-own-threat-intelligence-feeds-7e2f622d6c66)
Threat Intelligentサービスの情報を取り入れる

##オンプレ系

[Azure Sentinel: Performing Additional Security Monitoring of High-Value Accounts](
https://techcommunity.microsoft.com/t5/Azure-Sentinel/Azure-Sentinel-Performing-Additional-Security-Monitoring-of-High/ba-p/430740)
重要なアカウントの監視
[Azure Sentinel Insecure Protocols Dashboard ImplementationGuide](https://blogs.technet.microsoft.com/jonsh/azure-sentinel-insecure-protocols-dashboard-setup/)
安全でないプロトコル検知
[Audit Scheduled tasks using Azure Sentinel](http://blog.sec-labs.com/2019/03/audit-scheduled-tasks-using-azure-sentinel/)
攻撃者にScheduled Tasksを作られたら...

##Syslog系
[Syslog to Azure Sentinel](https://medium.com/@IrekRomaniuk/syslog-to-azure-sentinel-ac7a5902c33e)
Kubernetes clusterを使ってSyslogをSentinelへ転送

##JupyterNotebookを使ったハンティング
[Azure Huntingサイト](https://docs.microsoft.com/en-us/azure/sentinel/hunting)
[GitHub: msticpy](https://github.com/Microsoft/msticpy/)
このあたりは読んでおくべき
[Why Use Jupyter for Security Investigations?](https://github.com/Microsoft/msticpy/blob/master/docs/source/JupyterAndSecurity.rst)
なぜセキュリティ調査にJupyterを使うのか、使うべきなのか

[Azure Sentinel Hunting - Getstarted](https://github.com/Azure/Azure-Sentinel/blob/master/Notebooks/Get%20Started.ipynb)
さあ始めよう

[Automating Security Operations Using Windows Defender ATP APIs with Python and Jupyter Notebooks]
(https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Automating-Security-Operations-Using-Windows-Defender-ATP-APIs/ba-p/294434)
[Security Investigation with Azure Sentinel and Jupyter Notebooks – Part 1](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Security-Investigation-with-Azure-Sentinel-and-Jupyter-Notebooks/ba-p/432921)
[Security Investigation with Azure Sentinel and Jupyter Notebooks – Part 2](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Security-Investigation-with-Azure-Sentinel-and-Jupyter-Notebooks/ba-p/483466)
[Security Investigation with Azure Sentinel and Jupyter Notebooks – Part 3](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Security-Investigation-with-Azure-Sentinel-and-Jupyter-Notebooks/ba-p/561413)
ハンティングノートブックの実際, C&C検知等々

[Azure Sentinel Notebooks]
(https://medium.com/@adriangrigorof/azure-sentinel-notebooks-48526c985ec9)
チュートリアルとAlienvault OTXのAPI利用

[Importing Sigma Rules to Azure Sentinel](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Importing-Sigma-Rules-to-Azure-Sentinel/ba-p/657097)
Sigma Rulesの利用

[Looking for unknown anomalies - what is normal? Time Series analysis & its applications in Security](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Looking-for-unknown-anomalies-what-is-normal-Time-Series/ba-p/555052)
未知のAnomaly検知
[Time Series visualization of Palo Alto logs to detect data exfiltration](https://techcommunity.microsoft.com/t5/Azure-Sentinel/Time-Series-visualization-of-Palo-Alto-logs-to-detect-data/ba-p/666344)
情報漏洩の分析（未知のAnomaly検知の続き）

##終わりに

モダンハンティングの時代は、攻撃に合わせ、絶えずリアルタイムにクエリや検知手段を、適宜に構築及びアップデイトが出来る環境とスキルが必要となるようです。

これからはOutofBoxの機能のみならず、Python, JupyterNotebook, AI関連の分析手法を習得していく時代となりますね。
Happy Hacking!