Splunk

detecting-service-account-abuse est une skill de threat hunting conçue pour repérer les abus de comptes de service à travers les télémétries Windows, AD, SIEM et EDR. Elle se concentre sur les connexions interactives suspectes, l’élévation de privilèges, les mouvements latéraux et les anomalies d’accès, avec un modèle de chasse, des ID d’événements et des références de workflow pour mener des investigations répétables.

detecting-azure-service-principal-abuse aide à détecter, enquêter et documenter les activités suspectes des principaux de service Microsoft Entra ID dans Azure. Utilisez-la pour les audits de sécurité, la réponse aux incidents cloud et la threat hunting afin d’examiner les changements d’identifiants, les abus de consentement administrateur, les affectations de rôles, les chemins de propriété et les anomalies de connexion.

analyzing-security-logs-with-splunk aide à enquêter sur des événements de sécurité dans Splunk en corrélant des journaux Windows, pare-feu, proxy et authentification dans des chronologies et des éléments de preuve. Ce skill analyzing-security-logs-with-splunk est un guide pratique pour les audits de sécurité, la réponse aux incidents et la chasse aux menaces.

detecting-privilege-escalation-attempts aide à traquer les élévations de privilèges sur Windows et Linux, notamment la manipulation de jetons, les contournements de l’UAC, les chemins de service non entre guillemets, les exploits du noyau et les abus de sudo/doas. Pensé pour les équipes de threat hunting qui ont besoin d’un flux de travail concret, de requêtes de référence et de scripts utilitaires.

detecting-pass-the-ticket-attacks aide à détecter les activités Kerberos Pass-the-Ticket en corrélant les identifiants d’événements Windows Security 4768, 4769 et 4771. Utilisez-le pour la threat hunting dans Splunk ou Elastic afin d’identifier la réutilisation de tickets, les rétrogradations vers RC4 et des volumes TGS inhabituels, avec des requêtes pratiques et des indications sur les champs.

Skill de détection des attaques Pass-the-Hash pour la chasse aux mouvements latéraux basés sur NTLM, aux connexions de type 3 suspectes et à l’activité T1550.002 avec les journaux de sécurité Windows, Splunk et KQL.

detecting-lateral-movement-in-network aide à détecter les déplacements latéraux après compromission dans les réseaux d’entreprise, à partir des journaux d’événements Windows, des télémétries Zeek, de SMB, de RDP et de la corrélation SIEM. Il est utile pour la chasse aux menaces, la réponse à incident et les revues d’audit de sécurité, avec des workflows de détection concrets pour detecting-lateral-movement-in-network.

Le skill détecter les attaques Kerberoasting aide à traquer le Kerberoasting en repérant les requêtes Kerberos TGS suspectes, les chiffrages faibles des tickets et les schémas liés aux comptes de service. Utilisez-le pour des workflows SIEM, EDR et EVTX, ainsi que pour la détection des attaques Kerberoasting dans des workflows de Threat Modeling, avec des modèles de détection pratiques et des conseils d’ajustement.

La compétence detecting-insider-threat-behaviors aide les analystes à repérer des signaux de risque interne comme des accès inhabituels aux données, des activités hors horaires, des téléchargements massifs, des abus de privilèges et des vols corrélés à une démission. Utilisez ce guide detecting-insider-threat-behaviors pour la threat hunting, le triage de type UEBA et la modélisation des menaces, avec des modèles de workflow, des exemples de requêtes SIEM et des pondérations de risque.

detecting-golden-ticket-forgery détecte la falsification d’un Kerberos Golden Ticket en analysant l’Event ID Windows 4769, l’usage d’un downgrade vers RC4 (0x17), des durées de ticket anormales et des anomalies krbtgt dans Splunk et Elastic. Conçu pour l’audit de sécurité, l’investigation d’incident et la chasse aux menaces, avec des indications de détection concrètes et exploitables.

Le skill de détection des attaques par règles de transfert d’e-mail aide les équipes d’audit sécurité, de threat hunting et de réponse à incident à repérer les règles de transfert de boîtes aux lettres malveillantes utilisées pour la persistance et la collecte de courriels. Il guide les analystes à travers les indices Microsoft 365 et Exchange, les schémas de règles suspects et un triage pratique des comportements de transfert, de redirection, de suppression et de masquage.

detecting-dll-sideloading-attacks aide les équipes de Security Audit, de chasse aux menaces et de réponse à incident à détecter le DLL side-loading avec Sysmon, EDR, MDE et Splunk. Ce guide detecting-dll-sideloading-attacks inclut des notes de workflow, des modèles de chasse, le mapping des standards et des scripts pour transformer des chargements DLL suspects en détections répétables.

deploying-edr-agent-with-crowdstrike aide à planifier, installer et vérifier le déploiement du capteur CrowdStrike Falcon sur les terminaux Windows, macOS et Linux. Utilisez cette compétence deploying-edr-agent-with-crowdstrike pour obtenir des নির্দেশications d’installation, configurer les politiques, intégrer la télémétrie au SIEM et préparer la réponse aux incidents.

building-threat-hunt-hypothesis-framework vous aide à construire des hypothèses de threat hunting testables à partir du renseignement sur les menaces, du mapping ATT&CK et de la télémétrie. Utilisez ce skill building-threat-hunt-hypothesis-framework pour planifier vos chasses, mapper les sources de données, exécuter des requêtes et documenter les résultats dans le cadre du threat hunting et du Threat Modeling avec building-threat-hunt-hypothesis-framework.

Le skill building-soc-metrics-and-kpi-tracking transforme les données d’activité d’un SOC en KPI comme le MTTD, le MTTR, la qualité des alertes, la productivité des analystes et la couverture de détection. Il convient aux équipes de direction SOC, aux opérations de sécurité et aux équipes d’observabilité qui ont besoin de रिपोर्टings reproductibles, du suivi des tendances et de métriques parlantes pour les décideurs, appuyés par des workflows basés sur Splunk.

building-incident-response-dashboard aide les équipes à créer des tableaux de bord de réponse aux incidents en temps réel dans Splunk, Elastic ou Grafana pour suivre les incidents actifs, l’état du confinement, les actifs touchés, la propagation des IOC et les chronologies de réponse. Utilisez cette compétence building-incident-response-dashboard lorsque vous avez besoin d’un tableau de bord ciblé pour les analystes SOC, les coordinateurs d’incident et la direction.

building-detection-rules-with-sigma aide les analystes à créer des règles de détection Sigma portables à partir de renseignements sur les menaces ou de règles éditeur, à les mapper sur MITRE ATT&CK et à les convertir pour des SIEM comme Splunk, Elastic et Microsoft Sentinel. Utilisez ce guide building-detection-rules-with-sigma pour les workflows de Security Audit, la standardisation et la détection as code.

building-detection-rule-with-splunk-spl aide les analystes SOC et les ingénieurs détection à créer des recherches corrélées Splunk SPL pour la détection de menaces, le tuning et la revue Security Audit. Utilisez-le pour transformer un brief de détection en règle déployable, avec cartographie MITRE, enrichissement et consignes de validation.

La compétence d’analyse des journaux d’événements Windows dans Splunk aide les analystes SOC à enquêter, dans Splunk, sur les journaux Windows Security, System et Sysmon afin d’identifier des attaques d’authentification, des escalades de privilèges, des mécanismes de persistance et des mouvements latéraux. Utilisez-la pour le triage d’incidents, l’ingénierie de détection et l’analyse chronologique, avec des modèles SPL cartographiés et des indications sur les Event ID.

analyzing-dns-logs-for-exfiltration aide les analystes SOC à détecter le DNS tunneling, les domaines de type DGA, l’abus des enregistrements TXT et les schémas C2 furtifs à partir de journaux SIEM ou Zeek. À utiliser pour des workflows d’audit de sécurité lorsque vous avez besoin d’une analyse d’entropie, de détection d’anomalies de volume de requêtes et de conseils pratiques de triage.