Zeek

Die Skill "detecting-network-anomalies-with-zeek" hilft dabei, Zeek für passives Netzwerk-Monitoring bereitzustellen, strukturierte Logs auszuwerten und eigene Erkennungen für Beaconing, DNS-Tunneling und ungewöhnliche Protokollaktivitäten zu entwickeln. Sie eignet sich für Threat Hunting, Incident Response, SIEM-fähige Netzwerkmetadaten und Security-Audit-Workflows – nicht für Inline-Prevention.

detecting-modbus-protocol-anomalies hilft dabei, verdächtiges Verhalten in Modbus/TCP- und Modbus-RTU-Umgebungen in OT- und ICS-Netzwerken zu erkennen, darunter ungültige Funktionscodes, Zugriffe auf Register außerhalb des zulässigen Bereichs, abnormales Polling-Timing, nicht autorisierte Schreibzugriffe und fehlerhafte Frames. Nützlich für Security Audits und eine evidenzbasierte Triage.

detecting-beaconing-patterns-with-zeek hilft dabei, Intervalle in Zeek-`conn.log` zu analysieren, um C2-ähnliches Beaconing zu erkennen. Es nutzt ZAT, gruppiert Verbindungen nach Quelle, Ziel und Port und bewertet Muster mit geringer Jitter-Varianz anhand statistischer Prüfungen. Ideal für SOC, Threat Hunting, Incident Response und die Nutzung von detecting-beaconing-patterns-with-zeek in Security-Audit-Workflows.

analyzing-ransomware-network-indicators hilft bei der Analyse von Zeek conn.log und NetFlow, um C2-Beaconing, TOR-Exit-Nodes, Exfiltration und verdächtige DNS-Aktivität für Security Audits und Incident Response zu erkennen.

hunting-advanced-persistent-threats ist ein Threat-Hunting-Skill zur Erkennung von APT-typischer Aktivität über Endpoint-, Netzwerk- und Speicher-Telemetrie. Er unterstützt Analysten dabei, hypothesengetriebene Hunts aufzubauen, Funde mit MITRE ATT&CK zu verknüpfen und Threat Intelligence in praxisnahe Queries und Untersuchungsschritte zu übersetzen – statt in ungezielte Ad-hoc-Suchen zu verfallen.

detecting-exfiltration-over-dns-with-zeek hilft dabei, DNS-Datenexfiltration anhand von Zeek dns.log zu erkennen, indem hoch-entropy Subdomains, lange Labels und ungewöhnliche Query-Volumina markiert werden. Nutzen Sie diese detecting-exfiltration-over-dns-with-zeek Skill für Threat Hunting, Triage und reproduzierbare Analysen mit Zeek-Field-Referenzen und Scripts.

analyzing-network-traffic-for-incidents hilft Incident Respondern dabei, PCAPs, Flow-Logs und Paketmitschnitte zu analysieren, um C2, laterale Bewegung, Exfiltration und Exploit-Versuche zu bestätigen. Entwickelt für analyzing-network-traffic-for-incidents im Incident Response mit Wireshark, Zeek und NetFlow-ähnlicher Analyse.

detecting-lateral-movement-in-network hilft dabei, laterale Bewegung nach einer Kompromittierung in Unternehmensnetzwerken zu erkennen – mithilfe von Windows-Ereignisprotokollen, Zeek-Telemetrie, SMB, RDP und SIEM-Korrelation. Das ist nützlich für Threat Hunting, Incident Response und detecting-lateral-movement-in-network im Rahmen von Security-Audit-Prüfungen mit praxisnahen Detection-Workflows.

detecting-dnp3-protocol-anomalies hilft bei der Analyse von DNP3-Traffic in SCADA-Umgebungen, um unautorisierte Steuerbefehle, Protokollverstöße, Neustartversuche und Abweichungen vom Baseline-Verhalten zu erkennen. Nutzen Sie diese detecting-dnp3-protocol-anomalies-Skill für Security Audits, IDS-Tuning und die Auswertung von Zeek-Logs oder Packet Captures.

detecting-command-and-control-over-dns ist eine Cybersecurity-Skill für das Erkennen von C2 über DNS, einschließlich Tunneling, Beaconing, DGA-Domains und Missbrauch von TXT/CNAME. Sie unterstützt SOC-Analysten, Threat Hunter und Security Audits mit Entropieprüfungen, passiver DNS-Korrelation und Erkennungs-Workflows im Stil von Zeek oder Suricata.