10个必备的KQL威胁狩猎查询：轻松掌握威胁狩猎技巧

10个必备的KQL威胁狩猎查询：轻松掌握威胁狩猎技巧

【免费下载链接】KQL-threat-hunting-queriesA repository of KQL queries focused on threat hunting and threat detecting for Microsoft Sentinel & Microsoft XDR (Former Microsoft 365 Defender).项目地址: https://gitcode.com/gh_mirrors/kq/KQL-threat-hunting-queries

在当今复杂的网络安全环境中，威胁狩猎已成为保护企业数字资产的关键技能。KQL（Kusto Query Language）作为Microsoft Sentinel和Microsoft Defender XDR的核心查询语言，为安全分析师提供了强大的威胁检测能力。本文将为您介绍10个必备的KQL威胁狩猎查询，帮助您快速掌握威胁狩猎的核心技巧，提升安全防御水平。

🔍 什么是KQL威胁狩猎查询？

KQL威胁狩猎查询是基于Microsoft安全平台的专用查询语言，能够帮助安全团队在庞大的日志数据中快速识别潜在的安全威胁。通过精心设计的查询语句，您可以检测恶意活动、追踪攻击者行为，并提前发现安全漏洞。

🚀 10个必备的KQL威胁狩猎查询

1. PowerShell Base64编码检测查询

这个查询专门用于检测PowerShell中的Base64编码命令，这是攻击者常用的混淆技术。查询位于01.ThreatHunting/powershell-base64-encoding.md，能够帮助您发现潜在的恶意脚本执行。

核心功能：

• 检测PowerShell中的Base64编码命令
• 支持powershell.exe、pwsh.exe、powershell_ise.exe等进程
• 实时监控近1天的活动

2. OneNote恶意进程检测查询

随着OneNote被广泛用于恶意软件分发，这个查询变得尤为重要。查询文件位于01.ThreatHunting/onenote-spawning-suspicious-processes.md，能够检测由OneNote发起的可疑进程。

检测目标：

• OneNote启动的PowerShell进程
• 可疑的脚本执行器（wscript.exe、cscript.exe等）
• 潜在的恶意代码注入行为

3. 可疑TLD域名查询

通过监控DNS请求到可疑顶级域（TLD），这个查询能帮助您发现潜在的C2（命令与控制）通信。查询位于01.ThreatHunting/dns-requests-to-suspicious-tlds.md，利用Netcraft的恶意TLD列表进行检测。

关键特性：

• 集成外部威胁情报源
• 实时DNS连接检查
• 基于信誉的TLD过滤

4. CVE-2023-36884漏洞利用检测

针对特定漏洞的检测查询非常重要。这个查询专门用于检测CVE-2023-36884的利用行为，文件位于01.ThreatHunting/CVE-2023-36884-dropped-file.md。

检测逻辑：

• 监控特定目录的文件创建
• 检测漏洞利用的第二阶段文件
• Office相关路径的异常活动

5. 网络压缩和移动访问监控

这个查询位于01.ThreatHunting/network-zipandmov-access.md，用于检测网络共享中的压缩和移动操作，这些操作可能表明数据外泄尝试。

6. RDP配置修改检测

远程桌面协议（RDP）是攻击者的常见目标。查询文件01.ThreatHunting/rdp-default-listening-port-modification.md和01.ThreatHunting/rdp-enable-by-modifying-registry-key.md帮助检测RDP配置的异常修改。

7. 屏幕保护程序恶意利用检测

攻击者可能利用屏幕保护程序文件进行持久化攻击。查询位于01.ThreatHunting/screensaver-file-invoking-internet-access.md和01.ThreatHunting/screensaver-file-invoking-suspicious-processes.md，监控屏幕保护程序文件的异常行为。

8. WSL可疑活动检测

随着Windows Subsystem for Linux（WSL）的普及，攻击者也开始利用这一特性。查询文件01.ThreatHunting/suspicious-execution-using-wsl.md和01.ThreatHunting/suspicious-reconnaissance-activity-through-wsl.md帮助检测WSL环境中的可疑活动。

9. 文件删除行为监控

恶意软件经常在攻击后清理痕迹。查询位于01.ThreatHunting/suspicious-commands-hunting-to-remove-files.md，监控可疑的文件删除命令和模式。

10. 暴露管理查询

这个查询集合位于01.ThreatHunting/use-exposure-management-to-chart-user-groups-with-local-admin-privileges.md和01.ThreatHunting/use-exposure-management-to-identify-local-ntlm-hashes-from-sensitive-users.md，帮助识别环境中的安全暴露点和风险。

📊 威胁检测模块详解

除了威胁狩猎，项目还包含专门的威胁检测模块，位于02.ThreatDetection/目录。这些查询专注于实时检测：

• 邮件安全检测：02.ThreatDetection/delivered-emails-identified-as-suspicious.md - 识别可疑邮件
• RMM工具检测：02.ThreatDetection/detect-rmm-tools-using-processversioninfocompanymame-table.md - 检测远程管理工具
• SSL检查：02.ThreatDetection/ssl-inspection-for-malware-cnc.md - 恶意软件C2通信检测

🔧 安全运维最佳实践

项目的03.SecOps/目录提供了安全运维的最佳实践查询：

• 设备管理：03.SecOps/device-last-seen.md - 设备最后活动时间
• 隔离端点识别：03.SecOps/identify-isolated-endpoints.md - 识别隔离的设备
• MITRE ATT&CK技术映射：03.SecOps/identify-mitreattack-techniques.md - 攻击技术分类

🎯 如何有效使用这些查询

1. 环境适配

每个查询都需要根据您的具体环境进行适当调整。建议先在测试环境中验证查询的有效性。

2. 定期更新

威胁情报和攻击技术不断演变，定期更新查询逻辑以适应新的威胁模式。

3. 性能优化

对于大型环境，考虑查询的性能影响，适当调整时间范围和过滤条件。

4. 告警集成

将关键查询集成到您的SIEM或SOAR平台中，实现自动化告警和响应。

📈 学习资源与进阶

项目还提供了丰富的学习资源：

• KQL基础：包含在项目README中的基础语法教程
• 威胁狩猎基础：MITRE ATT&CK框架的应用指南
• 社区资源：KQL社区和培训资源的链接

💡 实用技巧

1. 时间范围优化：根据您的日志保留策略调整查询的时间范围
2. 字段选择：只选择必要的字段以提高查询性能
3. 外部数据集成：利用外部威胁情报源增强检测能力
4. 定期审查：定期审查和更新查询以适应环境变化

🚨 重要注意事项

在使用这些KQL威胁狩猎查询时，请记住：

• 所有查询都需要根据具体环境进行测试和调整
• 避免在生产环境中直接运行未经测试的查询
• 关注查询的性能影响，特别是对于大型数据集
• 定期更新查询以适应新的威胁和攻击技术

🎓 结语

掌握这10个必备的KQL威胁狩猎查询，您将能够快速建立有效的威胁检测体系。无论是检测常见的攻击技术，还是应对新兴的安全威胁，这些查询都为您提供了强大的工具基础。记住，威胁狩猎是一个持续的过程，需要不断学习和适应新的安全挑战。

通过实践这些查询，您不仅能够提升个人技能，还能为组织的整体安全防御做出重要贡献。开始您的威胁狩猎之旅吧！

【免费下载链接】KQL-threat-hunting-queriesA repository of KQL queries focused on threat hunting and threat detecting for Microsoft Sentinel & Microsoft XDR (Former Microsoft 365 Defender).项目地址: https://gitcode.com/gh_mirrors/kq/KQL-threat-hunting-queries