エンドポイントフォレンジックを、 すぐデプロイ。
IR と脅威ハンティングのための Velociraptor VQL アーティファクトのフィード:フォレンジック収集 + 当社の YARA ルールを VQL(yara() 関数)に変換したマルウェアハンティング、ATT&CK マッピング。3 つの明確なライセンス階層。Velociraptor にインポート。YARA パックとの DFIR バンドル。
What we added recently
A living feed: here is the coverage added to it, dated.
- +1 artefacts
3 階層、目的は 1 つ:IR。
収集・検知アーティファクトの基盤(イベントログ、レジストリ、永続化、タイムライン、アプリ)を Windows/Linux/macOS 向けに。Velociraptor からインシデントをトリアージするために必要なもの。
専有の中核:自社製のマルウェア/ツール YARA シグネチャを、yara() 関数でファイルをスキャンする Velociraptor アーティファクトに変換, 各アーティファクトは自己完結(ルール埋め込み)、ATT&CK テクニックにマッピング。ルールファイルを配布せず、フリート全体でマルウェアを狩ります。
各ハンティングアーティファクトは ATT&CK テクニックを持ちます。テクニックをカバーし、IR カバレッジを文書化し、レポートに投入, 単なるアーティファクトのリストではありません。
各ハンティングアーティファクトは YARA ルールを `type: yara` パラメータとして埋め込み、ディスクを glob してから一致をスキャンします。別途配布不要:アーティファクトをインポートしてハントを実行。
集約されたフォレンジックは copyleft ライセンス(AGPL)のまま、分離、帰属表示付きで再配布可。当社の自社製ハンティングアーティファクトは専有(EULA (c) CyberConsulting.fr、購読者利用)。permissive 階層は元のライセンスを保持。何が何か明確です。
正規化された artifacts.json(名前、プラットフォーム、ATT&CK テクニック、ライセンス、階層)、件数付き index.json、by-platform / by-technique / by-tier バンドル。フィルタ可能、スクリプト可能、Velociraptor インポート対応。
DFIR アーティファクトはオープンソースから策展(集約フォレンジックは AGPL copyleft ライセンスのまま分離);当社の自社製ハンティングアーティファクトは専有 YARA ルールを VQL(yara() 関数)に変換して鍛造し専有((c) CyberConsulting.fr、EULA);permissive 階層が元のライセンスでカバレッジを補完。各 ATT&CK マッピング、index.json + バンドル。キュレーション、YARA→VQL 鍛造、マッピングが当社の価値です。
Velociraptor が動くあらゆる場所で。
本物の堀を持つ DFIR パック。
堀:当社の専有 YARA シグネチャがすぐ狩れる Velociraptor アーティファクトに。他では見つからないコンテンツ、ATT&CK マッピング、自己完結。
曖昧さゼロ:AGPL フォレンジックはライセンス下で分離、maison は専有(EULA)、permissive は自身のライセンスを保持。何を再配布でき何が自分に残るか明確。
ハンティングアーティファクトは ATT&CK テクニックを持ち, アーティファクト名ではなく戦術で IR を進め、カバレッジを文書化。
ThreatClaw YARA パックの補完として設計:同じシグネチャを、ファイル側(YARA)とフリート規模のエンドポイント側(Velociraptor)で。1 つの検知チェーン、2 つの展開ポイント。
パックは署名済み。展開前に完全性を検証できます。
Velociraptor とは?
Velociraptor は DFIR とリモート脅威ハンティングの代表的なオープンソースプラットフォーム。「アーティファクト」(VQL クエリの YAML)でエンドポイントを収集・狩猟。IR/CERT チームのツール。当社パックは策展済み・ATT&CK マッピング・インポート可能なアーティファクトを提供。
YARA→VQL とは?
Velociraptor は VQL の yara() 関数で YARA ルールによりファイルをスキャンできます。当社の専有マルウェア YARA ルールを取り、各ルールごとにディスクを glob して埋め込みルールで一致をスキャンする Velociraptor アーティファクトを生成。結果:フリート全体でのマルウェア狩りが、インポートするだけの ATT&CK マッピング済みアーティファクトに, ルールファイルの配布不要。
ライセンスは?再販 / MSSP は可能?
本パックは 3 階層の専有サブスクリプションで、各階層にラベル(index.json と各アーティファクトのフォルダ参照):集約フォレンジック階層は copyleft ライセンス(AGPL)のまま分離、帰属表示付きで AGPL の下で再配布可;当社の自社製ハンティングアーティファクトは専有((c) CyberConsulting.fr、EULA, 内部利用、再配布不可);permissive 階層は元のライセンスを保持。キュレーション、YARA→VQL 鍛造、ATT&CK マッピングが当社の価値。
YARA パックと組み合わせられる?
はい, そのための設計です。YARA パックはファイル側スキャンをカバー;この Velociraptor パックは同じ自社シグネチャをエンドポイント側でフリート規模の VQL アーティファクトとして展開。DFIR バンドルとして一貫した検知チェーン:同じインテリジェンス、2 つの展開面(ファイル解析 + インシデント対応)。