detecting-t1003-credential-dumping-with-edr

Vue d’ensemble du skill detecting-t1003-credential-dumping-with-edr

Ce que fait ce skill

Le skill detecting-t1003-credential-dumping-with-edr aide les threat hunters à détecter le vol d’identifiants T1003 en corrélant la télémétrie EDR, les accès de processus Sysmon et les événements de sécurité Windows. Il est conçu pour les analystes qui doivent déterminer si LSASS, SAM, NTDS.dit, les secrets LSA ou des identifiants en cache ont été visés, et pas seulement si une alerte isolée s’est déclenchée.

À qui il s’adresse

Utilisez le skill detecting-t1003-credential-dumping-with-edr si vous disposez déjà de données EDR, Sysmon ou d’audit Windows et que vous voulez passer plus vite du soupçon à des résultats d’investigation validés. Il convient aux intervenants incident, aux detection engineers et aux cas d’usage detecting-t1003-credential-dumping-with-edr for Threat Hunting où l’objectif est le cadrage, la confirmation et la validation des contrôles.

Pourquoi il est utile

Sa valeur principale tient à une corrélation très concrète : l’accès suspect à LSASS, les outils connus de dumping et l’activité de registre ou de fichiers sont traités comme un seul problème de chasse. Le skill est donc plus utile qu’un prompt générique, parce qu’il fournit un workflow précis, des ID d’événements, des masques d’accès et des filtres de faux positifs probables pour démarrer.

Comment utiliser le skill detecting-t1003-credential-dumping-with-edr

Installer et ouvrir les bons fichiers

Pour detecting-t1003-credential-dumping-with-edr install, ajoutez le skill depuis le repo, puis lisez d’abord SKILL.md et utilisez les fichiers d’appui comme éléments de preuve, pas comme simple décoration. Les chemins les plus utiles sont assets/template.md pour la structure du reporting, references/workflows.md pour les phases de chasse, references/api-reference.md pour les détails des événements et des requêtes, et references/standards.md pour le contexte des masques d’accès et des contrôles.

Donner au skill une vraie question de chasse

Le detecting-t1003-credential-dumping-with-edr usage fonctionne le mieux quand vous fournissez un objectif borné, une source de données et un périmètre d’hôtes. Un bon input ressemble à ceci : « Cherche les cas de dump de LSASS sur les postes Windows au cours des 24 dernières heures en utilisant l’événement Sysmon 10 et les alertes Microsoft Defender for Endpoint ; priorise les postes d’administration et renvoie les processus source suspects, les lignes de commande et les masques d’accès. » Un input faible comme « cherche un malware » oblige à deviner et fait perdre la logique spécifique à l’EDR.

Suivre le workflow dans l’ordre prévu

Commencez par l’accès au processus LSASS, puis vérifiez les lignes de commande connues de credential dumping, puis cherchez l’extraction de NTDS.dit ou de ruches de registre, et n’élargissez qu’ensuite au mouvement latéral. Cet ordre compte, parce qu’il sépare les preuves d’accès direct aux identifiants de l’impact en aval, ce qui réduit le bruit et aide à décider s’il faut escalader vers l’équipe incident.

Ajuster les entrées de requête, pas seulement le prompt

Si votre télémétrie est bruyante, précisez la source d’événements et les champs dont vous disposez réellement. Par exemple, demandez au skill de faire correspondre Event ID 10 de Sysmon, 4688 de Windows ou les champs de lignée des processus de l’EDR avec le modèle de chasse. Si vous n’avez qu’une seule source, dites-le dès le départ ; si vous en avez plusieurs, demandez des règles de corrélation entre elles pour éviter une sortie trop ajustée à un seul type de journal.

FAQ du skill detecting-t1003-credential-dumping-with-edr

Est-ce limité au dump de LSASS ?

Non. Le guide detecting-t1003-credential-dumping-with-edr couvre aussi SAM, NTDS.dit, les secrets LSA, les identifiants de domaine en cache et les indicateurs de DCSync. L’accès à LSASS est le signal le plus rapide, mais le skill est plus large, car les attaquants réels mélangent souvent l’accès mémoire avec des abus du registre et de la réplication d’annuaire.

En quoi est-ce différent d’un prompt classique ?

Un prompt classique peut identifier les concepts T1003, mais le skill vous donne une structure de chasse reproductible, des références d’événements concrètes et un modèle pour présenter les constats. C’est l’avantage principal quand vous avez besoin du detecting-t1003-credential-dumping-with-edr usage pour produire un résultat exploitable, et non un simple résumé générique.

Faut-il un EDR spécifique ?

Aucun EDR particulier n’est obligatoire, mais le skill est nettement plus efficace si votre plateforme expose les champs d’accès aux processus, de ligne de commande et de preuve d’alerte. Il s’aligne bien avec les piles EDR courantes, ainsi qu’avec Sysmon et l’audit Windows ; si votre environnement ne permet pas de voir LSASS ou ne journalise pas la création de processus, les résultats seront plus faibles.

Quand ne faut-il pas l’utiliser ?

Ne vous appuyez pas dessus si vous avez seulement besoin d’un tri large de malwares sans télémétrie Windows d’accès aux identifiants, ou si vous ne pouvez pas collecter assez de contexte hôte pour distinguer des outils d’administration légitimes d’une activité de dumping. Dans ces cas-là, un prompt plus ciblé ou un autre skill de détection sera plus rapide.

Comment améliorer le skill detecting-t1003-credential-dumping-with-edr

Lui fournir de meilleures preuves

Les meilleurs résultats viennent d’entrées précises : noms d’hôte, fenêtre temporelle, processus parent, ligne de commande, contexte utilisateur, masque d’accès et source de l’alerte. Si possible, incluez un ou deux exemples suspects comme mimikatz sekurlsa::logonpasswords, procdump -ma lsass.exe ou reg save hklm\sam, parce qu’ils ancrent la chasse sur des motifs connus sans forcer le skill à les inventer.

Réduire tôt les faux positifs

Indiquez au skill quels processus sont attendus dans votre environnement, en particulier les outils de sécurité légitimes, les utilitaires d’administration et les agents de support susceptibles de toucher LSASS ou de générer du bruit d’accès aux processus. C’est important, car detecting-t1003-credential-dumping-with-edr est surtout efficace lorsqu’il peut distinguer un comportement d’administration normal de masques d’accès suspects et de chaînes parent-enfant inhabituelles.

Itérer de la détection au cadrage

Après un premier passage, demandez la décision suivante dont vous avez besoin : confirmer une compromission, trouver les hôtes liés ou extraire une chronologie prête à être intégrée à un rapport. Un bon suivi serait : « Avec la même télémétrie, résume les systèmes probablement compromis, les preuves pour chacun, et indique si le signal pointe vers T1003.001, T1003.002 ou T1003.003. » Le skill passe alors d’une aide à la recherche à un workflow d’investigation.

Utiliser le template pour standardiser les sorties

Mappez les résultats dans assets/template.md pour que chaque chasse utilise les mêmes champs pour l’hypothèse, l’accès à LSASS, les détections d’outils, l’impact et la réponse. Cette standardisation améliore le skill detecting-t1003-credential-dumping-with-edr, parce qu’elle oblige la sortie à répondre aux questions opérationnelles : qu’est-ce qui a été accédé, comment, sur quel hôte, et que faut-il réinitialiser ou contenir ensuite.