Microsoft Defender

detecting-service-account-abuse est une skill de threat hunting conçue pour repérer les abus de comptes de service à travers les télémétries Windows, AD, SIEM et EDR. Elle se concentre sur les connexions interactives suspectes, l’élévation de privilèges, les mouvements latéraux et les anomalies d’accès, avec un modèle de chasse, des ID d’événements et des références de workflow pour mener des investigations répétables.

detecting-privilege-escalation-attempts aide à traquer les élévations de privilèges sur Windows et Linux, notamment la manipulation de jetons, les contournements de l’UAC, les chemins de service non entre guillemets, les exploits du noyau et les abus de sudo/doas. Pensé pour les équipes de threat hunting qui ont besoin d’un flux de travail concret, de requêtes de référence et de scripts utilitaires.

Skill de détection des attaques Pass-the-Hash pour la chasse aux mouvements latéraux basés sur NTLM, aux connexions de type 3 suspectes et à l’activité T1550.002 avec les journaux de sécurité Windows, Splunk et KQL.

La compétence detecting-insider-threat-behaviors aide les analystes à repérer des signaux de risque interne comme des accès inhabituels aux données, des activités hors horaires, des téléchargements massifs, des abus de privilèges et des vols corrélés à une démission. Utilisez ce guide detecting-insider-threat-behaviors pour la threat hunting, le triage de type UEBA et la modélisation des menaces, avec des modèles de workflow, des exemples de requêtes SIEM et des pondérations de risque.

detecting-fileless-attacks-on-endpoints aide à créer des détections pour les attaques en mémoire sur les endpoints Windows, notamment les abus de PowerShell, la persistance via WMI, le chargement réfléchi et l’injection de processus. Utilisez-le pour les audits de sécurité, la chasse aux menaces et l’ingénierie de détection avec Sysmon, AMSI et la journalisation PowerShell.

containing-active-breach est une skill de réponse à incident dédiée au confinement d’une compromission en cours. Elle aide à isoler des hôtes, bloquer du trafic suspect, désactiver des comptes compromis et ralentir les mouvements latéraux grâce à un guide structuré contenant-active-breach, avec des références pratiques aux API et aux scripts.