forensics-osquery
Enquêter sur les incidents de sécurité avec les analyses médico-légales SQL osquery
Cette compétence fournit une analyse médico-légale alimentée par SQL utilisant osquery pour interroger les systèmes d'exploitation comme des bases de données. Utilisez-la pour collecter des preuves médico-légales, chasser les menaces et répondre aux incidents sur les points de terminaison Linux, macOS et Windows.
Descargar el ZIP de la skill
Subir en Claude
Ve a Configuración → Capacidades → Skills → Subir skill
Activa y empieza a usar
Pruébalo
Usando "forensics-osquery". Montrez-moi les processus avec des connexions réseau externes
Resultado esperado:
- Processus: nginx, PID: 1234, Distant: 203.0.113.50:443
- Processus: chrome, PID: 5678, Distant: 198.51.100.20:443
Usando "forensics-osquery". Trouvez les modifications récentes de fichiers dans les répertoires système
Resultado esperado:
- Fichier: /etc/passwd, Modifié: il y a 2 heures
- Fichier: /usr/bin/suspicious Binary, Modifié: il y a 30 minutes
Usando "forensics-osquery". Vérifiez les tâches planifiées suspectes
Resultado esperado:
- Tâche: UpdateService, Action: powershell -enc <obfusqué>
Auditoría de seguridad
SeguroAll 810 static findings are FALSE POSITIVES. This is a legitimate DFIR (Digital Forensics and Incident Response) skill using osquery SQL queries to detect malicious activity. The scanner detected detection queries for credential access, PowerShell commands, and suspicious processes - but these are intentionally designed to identify indicators of compromise, not perform malicious actions. Skill includes MITRE ATT&CK mapping and forensic packs for incident response.
Factores de riesgo
⚙️ Comandos externos (2)
📁 Acceso al sistema de archivos (2)
🌐 Acceso a red (2)
Puntuación de calidad
Lo que puedes crear
Tri de réponse aux incidents
Collecter rapidement l'état du système lors des incidents de sécurité, y compris les processus, les connexions et l'activité utilisateur.
Chasser les techniques d'attaque
Exécuter des requêtes mappées MITRE ATT&CK pour détecter les techniques adverses sur les points de terminaison.
Requêtes de visibilité des points de terminaison
Interroger des parcs de systèmes pour les indicateurs de compromission (IOC) à l'aide d'osquery basé sur SQL.
Prueba estos prompts
Montrez-moi tous les processus en cours avec des exécutables supprimés utilisant osquery
Trouvez les processus écoutant sur les interfaces réseau externes avec leurs lignes de commande complètes
Interrogez tous les mécanismes de persistance, y compris les travaux cron, les services systemd et les clés de registre Run
Détecter les processus accédant à /etc/shadow, la base de données SAM ou les fichiers d'identifiants du navigateur
Mejores prácticas
- Testez les requêtes dans un environnement de laboratoire avant de les exécuter sur des systèmes de production
- Utilisez des clauses WHERE pour limiter la portée des requêtes et réduire l'impact sur les performances
- Exportez les résultats des requêtes pour la préservation des preuves au format JSON ou CSV
Evitar
- Ne pas exécuter de requêtes non limitées sur des systèmes de production sans filtrage
- Ne pas modifier les systèmes pendant les analyses médico-légales live - utiliser des requêtes en lecture seule
- Ne pas compter uniquement sur osquery pour les alertes en temps réel sans osqueryd
Preguntas frecuentes
Qu'est-ce qu'osquery ?
Cette compétence effectue-t-elle des analyses médico-légales live ?
Quelles plateformes sont prises en charge ?
Ai-je besoin de permissions spéciales ?
En quoi est-ce différent de l'EDR ?
Quelles techniques MITRE ATT&CK peuvent être détectées ?
Detalles del desarrollador
Autor
AgentSecOpsLicencia
MIT
Repositorio
https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/incident-response/forensics-osqueryRef.
main
Estructura de archivos