Threat Hunting

detecting-lateral-movement-with-zeek es una habilidad de ciberseguridad basada en Zeek para threat hunting y respuesta a incidentes. Ayuda a detectar acceso a recursos compartidos de administración SMB, creación de servicios DCE/RPC, spray de NTLM, anomalías de Kerberos y transferencias internas sospechosas usando logs de Zeek como conn.log, smb_mapping.log, smb_files.log, dce_rpc.log, ntlm.log y kerberos.log.

analyzing-cobaltstrike-malleable-c2-profiles ayuda a analizar perfiles Cobalt Strike Malleable C2 y convertirlos en indicadores de C2, rasgos de evasión e ideas de detección para flujos de trabajo de análisis de malware, threat hunting y auditoría de seguridad. Usa dissect.cobaltstrike y pyMalleableC2 para analizar perfiles y configuraciones de beacon.

exploiting-kerberoasting-with-impacket ayuda a testers autorizados a planificar Kerberoasting con `GetUserSPNs.py` de Impacket, desde el reconocimiento de SPN hasta la extracción de tickets TGS, el cracking offline y la elaboración de informes con enfoque en detección. Usa esta guía de exploiting-kerberoasting-with-impacket para flujos de trabajo de pruebas de penetración con contexto claro de instalación y uso.

detecting-shadow-it-cloud-usage ayuda a identificar el uso no autorizado de SaaS y servicios en la nube a partir de logs de proxy, consultas DNS y netflow. Clasifica dominios, los compara con listas aprobadas y respalda flujos de trabajo de auditoría de seguridad con evidencia estructurada desde la guía de la skill detecting-shadow-it-cloud-usage.

detecting-service-account-abuse es una skill de threat hunting para detectar el uso indebido de cuentas de servicio en telemetría de Windows, AD, SIEM y EDR. Se centra en inicios de sesión interactivos sospechosos, escalada de privilegios, movimiento lateral y anomalías de acceso, e incluye una plantilla de búsqueda, event IDs y referencias de flujo de trabajo para una investigación repetible.

detecting-s3-data-exfiltration-attempts ayuda a investigar posibles robos de datos en AWS S3 correlacionando eventos de datos de S3 de CloudTrail, hallazgos de GuardDuty, alertas de Amazon Macie y patrones de acceso a S3. Usa esta skill detecting-s3-data-exfiltration-attempts para auditorías de seguridad, respuesta a incidentes y análisis de descargas masivas sospechosas.

detecting-rdp-brute-force-attacks ayuda a analizar los registros de eventos de seguridad de Windows para detectar patrones de fuerza bruta en RDP, incluidos fallos repetidos 4625, un 4624 exitoso después de varios fallos, inicios de sesión relacionados con NLA y concentración por IP de origen. Úsala para auditorías de seguridad, threat hunting e investigaciones repetibles basadas en EVTX.

analyzing-usb-device-connection-history ayuda a investigar el historial de conexión de dispositivos USB en Windows usando colmenas del registro, registros de eventos y setupapi.dev.log para informática forense digital, trabajo sobre amenazas internas y respuesta a incidentes. Admite reconstrucción de líneas de tiempo, correlación de dispositivos y análisis de evidencias de medios extraíbles.

analyzing-browser-forensics-with-hindsight ayuda a equipos de análisis forense digital a examinar artefactos de navegadores Chromium con Hindsight, incluidos historial, descargas, cookies, autocompletado, marcadores, metadatos de credenciales guardadas, caché y extensiones. Úsalo para reconstruir la actividad web, revisar líneas de tiempo e investigar perfiles de Chrome, Edge, Brave y Opera.

analyzing-bootkit-and-rootkit-samples es una skill de análisis de malware para investigaciones de MBR, VBR, UEFI y rootkits. Úsala para inspeccionar sectores de arranque, módulos de firmware e indicadores anti-rootkit cuando la intrusión persiste por debajo de la capa del sistema operativo. Está pensada para analistas que necesitan una guía práctica, un flujo de trabajo claro y una triaje basado en evidencias para el análisis de malware.

La skill de detectar anomalías de red con Zeek ayuda a desplegar Zeek para la monitorización pasiva de redes, revisar logs estructurados y crear detecciones personalizadas para beaconing, DNS tunneling y actividad inusual de protocolos. Está pensada para threat hunting, respuesta a incidentes, metadatos de red listos para SIEM y flujos de trabajo de auditoría de seguridad; no para prevención en línea.

detecting-modbus-protocol-anomalies ayuda a detectar comportamientos sospechosos de Modbus/TCP y Modbus RTU en redes OT e ICS, incluidos códigos de función no válidos, accesos fuera de rango a registros, temporización anómala de sondeo, escrituras no autorizadas y tramas malformadas. Es útil para una auditoría de seguridad y para la priorización basada en evidencias.

detecting-typosquatting-packages-in-npm-pypi ayuda a identificar paquetes sospechosos de npm y PyPI comparando la similitud de nombres, la antigüedad de publicación y anomalías de descargas. Úsalo en flujos de auditoría de seguridad, revisión de dependencias y filtrado inicial de riesgos de la cadena de suministro con un proceso reproducible de comprobación de registros.

Skill detecting-t1003-credential-dumping-with-edr para threat hunting con EDR, Sysmon y correlación de eventos de Windows para detectar volcado de credenciales de LSASS, SAM, NTDS.dit, secretos de LSA y credenciales en caché. Úsalo para validar alertas, acotar incidentes y reducir falsos positivos con una guía práctica de trabajo.

detecting-dcsync-attack-in-active-directory es una skill de threat hunting para detectar abuso de DCSync en Active Directory correlacionando eventos 4662, GUID de replicación y cuentas legítimas de DC. Úsala para confirmar, priorizar y documentar actividad de robo de credenciales con Splunk, KQL y scripts de análisis.

detecting-container-escape-with-falco-rules ayuda a detectar intentos de escape de contenedores con reglas de seguridad en tiempo de ejecución de Falco. Se centra en señales de syscall, contenedores privilegiados, abuso de rutas del host, validación y flujos de respuesta ante incidentes para entornos de Kubernetes y contenedores Linux.

Skill detecting-bluetooth-low-energy-attacks para pruebas autorizadas de seguridad BLE. Ayuda a evaluar la exposición al sniffing, el riesgo de replay, el abuso de enumeración GATT, el spoofing de advertising y los indicios de Man-in-the-Middle usando herramientas reales de BLE y guías de trabajo.

Skill de configuring-snort-ids-for-intrusion-detection para instalar, configurar, validar y ajustar Snort 3 IDS en segmentos de red autorizados. Incluye uso práctico, carga de reglas, comprobaciones de CLI, reducción de falsos positivos y flujos de trabajo de Security Audit.

analyzing-malware-sandbox-evasion-techniques ayuda a analistas de malware a revisar el comportamiento de Cuckoo y AnyRun para detectar comprobaciones de tiempo, consultas de artefactos de VM, barreras de interacción del usuario e inflación de sleep. Está pensado para un análisis de analyzing-malware-sandbox-evasion-techniques centrado en flujos de trabajo de Malware Analysis, donde se evalúa si una muestra se está ocultando de una sandbox.

analyzing-malware-persistence-with-autoruns es una skill de Sysinternals Autoruns para el análisis de malware. Te ayuda a inspeccionar la persistencia en Windows en claves Run, servicios, tareas programadas, Winlogon, controladores y WMI, mediante un flujo de trabajo repetible con exportaciones CSV, revisión de entradas sospechosas y hallazgos listos para informe.

hunting-advanced-persistent-threats es una skill de threat hunting para detectar actividad de estilo APT en telemetría de endpoint, red y memoria. Ayuda a los analistas a construir búsquedas guiadas por hipótesis, mapear hallazgos a MITRE ATT&CK y convertir la inteligencia de amenazas en consultas prácticas y pasos de investigación, en lugar de búsquedas improvisadas.

extracting-windows-event-logs-artifacts te ayuda a extraer, analizar y examinar Windows Event Logs (EVTX) para forense digital, respuesta a incidentes y threat hunting. Permite revisar de forma estructurada inicios de sesión, creación de procesos, instalaciones de servicios, tareas programadas, cambios de privilegios y borrado de registros con Chainsaw, Hayabusa y EvtxECmd.

Guía de extracting-memory-artifacts-with-rekall para analizar imágenes de memoria de Windows con Rekall. Aprende patrones de instalación y uso para detectar procesos ocultos, código inyectado, VAD sospechosos, DLL cargadas y actividad de red en tareas de informática forense digital.

Guía de la skill extracting-iocs-from-malware-samples para análisis de malware: extrae hashes, IP, dominios, URLs, artefactos del host y señales de validación de muestras para threat intel y detección.