Endgame 簡介
Endgame 本來就是一家提供端點安全服務解決方案的產品，搭配分析 Elastic Stack SIEM 中統一格式的 ECS (Elastic Common Schema) 把原來 Elastic Stack 的功能可以說是完全提升了一個層次，強化了端點安全的預防、偵測、回應 (EPP + EDR) 功能，此外也開發了一些厲害的功能，這次實際上用起來覺得蠻神奇的。
提供 EQL(Event Query Language) 支援: 事件版本的 SQL 的語言
能夠更方便的找出有相依性的相關資訊
Artemis: 可以看成是資安版本的 Siri 或是 Google assistant
透過直觀自然的指令像是 Find the process wmic.exe 就可以找到相關資料
透過 Chatbot + 人工智慧解決傳統搜尋介面較比較不友善的問題
透過 Chatbot + 人工智慧解決傳統搜尋介面較比較不友善的問題
EQL
EQL 可以執行簡單的條件判斷和範圍指定
process where sha256=="551d62be381a429bb594c263fc01e8cc9f80bda97ac3787244ef16e3b0c05589"
any where timestamp_utc >= "2018-04-01 12:00:0Z" and timestamp_utc <= "2018-04-01 12:05:0Z"
也可以將條件組合成複雜的指令
network where
event_subtype_full == "ipv4_connection_attempt_event" and
process_name == "svchost.exe" and
destination_port == 1337 and
(destination_address == "192.168.*" or destination_address == "172.16.*")
| unique destination_address destination_port
使用 Endgame
透過介面建立並下載 Senser Profile
透過下面的指令，使用剛才建立並下載的 Profile 配置我們的 Sensor:
SensorWindowsInstaller-<profile_name>.exe -c SensorWindowsInstaller-<profile_name>..cfg -k <api_key> -d false -l install.log
<profile_name>: 就是剛才建立的名稱
<api_key> 在建立後產生的 API key
透過剛剛下載的 Profile 配置並啟動 Senser 後會出現在列表
打開偽裝的 IE，會發現開啟 CMD 後跑了很多指令
從 Alert 中查看影響路徑與範圍
這時候就要設定遇到 Malware 的反應機制，設定阻擋並跳通知
從新的 Alert 可以發現影響路徑與範圍變小
