🔎 DetectFlow — инструмент для автоматизации разработки detection-правил

DetectFlow — open source-инструмент от SOC Prime, предназначенный для автоматизации процессов Detection Engineering. Он помогает создавать, тестировать и поддерживать правила обнаружения угроз для SIEM, EDR и других систем мониторинга безопасности.

🕸 Основные возможности DetectFlow
📉 Автоматизация разработки detection-правил — упрощает создание и поддержку правил обнаружения.
📉 Поддержка Sigma — интеграция с популярным форматом правил Sigma.
📉 Workflow-подход — управление жизненным циклом detection-правил: разработка, тестирование, обновление.
📉 Интеграция с CI/CD — правила можно автоматически проверять и развёртывать.
🖱 Стандартизация Detection Engineering — помогает командам SOC структурировать процессы создания детектов.

💻Пример workflow разработки детекта
DetectFlow помогает выстроить pipeline создания detection-правил.

Типичный процесс может выглядеть так:
1️⃣ Анализ угрозы или техники из MITRE ATT&CK
2️⃣ Создание detection-правила (например, Sigma)
3️⃣ Тестирование на логах
4️⃣ Проверка корректности правила
5️⃣ Развёртывание в SIEM
Такой workflow позволяет SOC-командам быстрее внедрять новые детекты и уменьшать количество ошибок.

⬇️ Базовый запуск
Клонирование репозитория и запуск

git clone https://github.com/socprime/detectflow-one-click-local-deployment.git
cd detectflow-one-click-local-deployment
chmod +x deploy-detectflow-minikube.sh
./deploy-detectflow-minikube.sh

После запуска можно создавать и тестировать detection-правила в рамках workflow.

#soc #detectionengineering #sigma #threathunting #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧠 AttackGen — генератор сценариев атак на основе MITRE ATT&CK и LLM

AttackGen — open source-инструмент, который использует LLM-модели для генерации реалистичных сценариев кибератак на основе фреймворка MITRE и базы знаний MITRE ATT&CK.

Инструмент предназначен для специалистов по безопасности, SOC-аналитиков и Red Team-команд, помогая быстро создавать реалистичные цепочки атак, которые можно использовать для обучения или тестирования защиты.

❓ Как работает AttackGen
AttackGen принимает входные данные о целевой инфраструктуре (например, тип организации или используемые технологии) и на их основе генерирует цепочку действий злоумышленника, используя техники из MITRE ATT&CK.

Типичный сценарий может включать этапы:
1️⃣ Initial Access — фишинг, эксплуатация уязвимости или компрометация учётных данных
2️⃣ Execution — запуск вредоносного кода
3️⃣ Persistence — закрепление в системе
4️⃣ Privilege Escalation — повышение привилегий
5️⃣ Lateral Movement — перемещение по сети
6️⃣ Data Exfiltration — кража данных

Таким образом получается полная kill chain атаки, которую можно использовать для моделирования угроз.

🎯 Для чего используют AttackGen
➡️ Tabletop-упражнения — генерация сценариев для тренировки SOC и incident response команд.
➡️ Threat modeling — моделирование возможных атак на инфраструктуру.
➡️ Red Team подготовка — идеи для новых сценариев тестирования безопасности.
➡️ Обучение специалистов — наглядные примеры цепочек атак.
➡️ Purple Team упражнения — совместная работа Red и Blue команд.

⬇️ Установка и запуск
Клонирование репозитория

git clone https://github.com/mrwadams/attackgen.git
cd attackgen

Установка зависимостей

pip install -r requirements.txt

Запуск инструмента

streamlit run 00_👋_Welcome.py

После запуска можно вводить параметры инфраструктуры и генерировать сценарии атак.

↗️ Пример генерации сценария
После запуска AttackGen можно задать контекст организации:

Industry: Financial services
Infrastructure: Cloud + Active Directory
Security maturity: Medium

Инструмент может сгенерировать сценарий атаки, например:

Initial Access: Spear phishing campaign targeting employees
Execution: Malicious macro payload
Persistence: Scheduled task
Privilege Escalation: Token manipulation
Lateral Movement: SMB and remote service execution
Exfiltration: Data transfer over HTTPS

Такие сценарии можно использовать как основу для тренировок или моделирования угроз.

#ai #threatmodeling #mitre #redteam #soc #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Почему 80% атак на компании остаются незамеченными в первые часы?

Потому что наличие средств защиты ≠ наличие специалистов, которые умеют видеть и интерпретировать происходящее в инфраструктуре.

Антивирусы, EDR, фаерволы — это инструменты.
Но без SOC-аналитика они не обнаруживают атаки, а лишь фиксируют события.

Именно поэтому сегодня рынок перегрет спросом на blue team специалистов.

По данным рынка:
⏺️ SOC-аналитики уровня Junior зарабатывают от 80 000 – 120 000 ₽
⏺️ Middle — 150 000 – 250 000 ₽
⏺️ Senior — от 300 000 ₽ и выше

И это одна из немногих ролей в ИБ, куда можно зайти без глубокой технической базы,
если есть понимание процессов и практика работы с инцидентами.

Мы запускаем новый курс: «Профессия SOC-аналитик» — погружение с нуля!

❗️ работа с логами и событиями
❗️ анализ и корреляция инцидентов
❗️ разбор атак и сценариев поведения злоумышленников
❗️ формирование мышления blue team

Стартуем 6 апреля!

👉👉👉 Узнать подробнее

🐰Новая лаборатория на HackerLab — Rabbit Hole

Архитекторы RabbitHole уверены, что их инфраструктура недосягаема: минимум внешних сигналов, жёсткая сегментация и доверие к собственным компонентам.

Rabbit Hole — инфраструктурная black-box лаборатория, где вам предстоит шаг за шагом собирать картину происходящего, искать слабые связи между компонентами и выстраивать цепочку компрометации.

Что внутри:
🟢Web Perimeter, Microservices, Supply Chain, K8s Security
🟢многоступенчатый сценарий
🟢разведка, логика и chaining уязвимостей
🟢современная cloud-native инфраструктура

Ваш доступ — минимален.
Ваш заказчик — неизвестен.

Сделайте всё, на что способны.

↗️https://hackerlab.pro

Автор лабы: Black Rabbit, автор курса по Active Directory в Codeby

🔁 Пятничный опрос
Сегодня проверим, насколько хорошо ты понимаешь Boolean-based Blind SQLi.

❓ Вопрос простой:
что из предложенного — именно этот тип инъекции?

Подсказка:

Boolean-based Blind SQLi — это тип SQL-инъекции, при котором атакующий определяет истинность условий (TRUE/FALSE) по косвенным признакам ответа приложения (например, изменению страницы), без явного вывода данных или ошибок.