DetectionLabELK

DetectionLabELK DetectionLabELK 是 Chris Long 的 DetectionLab 的一个分支，使用 ELK 堆栈替代了 Splunk。 描述 DetectionLabELK 是一个理想的实验室，适合想要构建有效检测能力的人使用。它专为防御者设计，主要目的是让蓝队能够快速搭建一个预装了安全工具并遵循系统日志配置最佳实践的 Windows 域。它可以很容易地修改以适应大多数需求，或扩展以包含额外的主机。 使用场景 DetectionLabELK 的一个常见使用场景是当您考虑采用 MITRE ATT&CK 框架并希望为其战术开发检测规则时。您可以使用...