Threat Hunting

detecting-beaconing-patterns-with-zeek aide à analyser les intervalles du fichier `conn.log` de Zeek pour détecter un beaconing de type C2. Le skill s’appuie sur ZAT, regroupe les flux par source, destination et port, puis attribue un score aux motifs à faible gigue à l’aide de contrôles statistiques. Il est particulièrement adapté aux équipes SOC, au threat hunting, à la réponse à incident et aux workflows d’audit de sécurité impliquant detecting-beaconing-patterns-with-zeek.

detecting-azure-lateral-movement aide les analystes sécurité à traquer les mouvements latéraux dans Azure AD/Entra ID et Microsoft Sentinel à partir des journaux d’audit Microsoft Graph, de la télémétrie de connexion et de corrélations KQL. Utilisez-le pour le triage d’incidents, l’ingénierie de détection et les workflows d’audit sécurité couvrant les abus de consentement, l’usage détourné de principals de service, le vol de jetons et les pivots interlocataires.

analyzing-security-logs-with-splunk aide à enquêter sur des événements de sécurité dans Splunk en corrélant des journaux Windows, pare-feu, proxy et authentification dans des chronologies et des éléments de preuve. Ce skill analyzing-security-logs-with-splunk est un guide pratique pour les audits de sécurité, la réponse aux incidents et la chasse aux menaces.

analyzing-golang-malware-with-ghidra aide les analystes à rétroconcevoir des malwares compilés en Go dans Ghidra, avec des workflows pour la récupération des fonctions, l’extraction des chaînes, les métadonnées de build et la cartographie des dépendances. Le skill analyzing-golang-malware-with-ghidra est utile pour le triage de malware, la réponse à incident et les tâches de Security Audit qui exigent des étapes d’analyse pratiques, spécifiques à Go.

detecting-living-off-the-land-with-lolbas aide à détecter les abus de LOLBAS avec Sysmon et les journaux d’événements Windows, en s’appuyant sur la télémétrie des processus, le contexte parent-enfant, des règles Sigma et un guide pratique pour le triage, la chasse et la rédaction de règles. Il prend en charge detecting-living-off-the-land-with-lolbas pour la modélisation des menaces et les workflows analyste autour de certutil, regsvr32, mshta et rundll32.

Le skill détecter les attaques Kerberoasting aide à traquer le Kerberoasting en repérant les requêtes Kerberos TGS suspectes, les chiffrages faibles des tickets et les schémas liés aux comptes de service. Utilisez-le pour des workflows SIEM, EDR et EVTX, ainsi que pour la détection des attaques Kerberoasting dans des workflows de Threat Modeling, avec des modèles de détection pratiques et des conseils d’ajustement.

La compétence detecting-insider-threat-behaviors aide les analystes à repérer des signaux de risque interne comme des accès inhabituels aux données, des activités hors horaires, des téléchargements massifs, des abus de privilèges et des vols corrélés à une démission. Utilisez ce guide detecting-insider-threat-behaviors pour la threat hunting, le triage de type UEBA et la modélisation des menaces, avec des modèles de workflow, des exemples de requêtes SIEM et des pondérations de risque.

La skill de détection des techniques de malware fileless accompagne les workflows d’analyse de malwares pour enquêter sur les menaces sans fichier qui s’exécutent en mémoire via PowerShell, WMI, la réflexion .NET, des charges utiles résidant dans le registre et des LOLBins. Utilisez-la pour passer d’alertes suspectes à un triage étayé par des preuves, à des idées de détection et à des pistes de chasse à suivre.

Le skill de détection des attaques par règles de transfert d’e-mail aide les équipes d’audit sécurité, de threat hunting et de réponse à incident à repérer les règles de transfert de boîtes aux lettres malveillantes utilisées pour la persistance et la collecte de courriels. Il guide les analystes à travers les indices Microsoft 365 et Exchange, les schémas de règles suspects et un triage pratique des comportements de transfert, de redirection, de suppression et de masquage.

detecting-dll-sideloading-attacks aide les équipes de Security Audit, de chasse aux menaces et de réponse à incident à détecter le DLL side-loading avec Sysmon, EDR, MDE et Splunk. Ce guide detecting-dll-sideloading-attacks inclut des notes de workflow, des modèles de chasse, le mapping des standards et des scripts pour transformer des chargements DLL suspects en détections répétables.

detecting-attacks-on-historian-servers aide à détecter les activités suspectes sur les serveurs historian OT comme OSIsoft PI, Ignition et Wonderware, à la frontière IT/OT. Utilisez ce guide detecting-attacks-on-historian-servers pour la réponse à incident, l’identification de requêtes non autorisées, la détection de manipulation de données, l’abus d’API et le triage des mouvements latéraux.

detecting-anomalous-authentication-patterns aide à analyser les journaux d'authentification pour repérer les déplacements impossibles, les attaques par force brute, le password spraying, le credential stuffing et les activités liées à des comptes compromis. Conçu pour les workflows d'audit de sécurité, de SOC, d'IAM et de réponse aux incidents, avec une détection tenant compte des bases de référence et une analyse des connexions étayée par des preuves.

Guide de déploiement d’osquery pour le monitoring des terminaux, destiné à configurer la visibilité sur les endpoints, le suivi à l’échelle du parc et la threat hunting pilotée par SQL. Utilisez-le pour préparer l’installation, comprendre le workflow et les références d’API, puis industrialiser les requêtes planifiées, la collecte des journaux et la revue centralisée sur des endpoints Windows, macOS et Linux.

correlating-security-events-in-qradar aide les équipes SOC et détection à corréler les offenses IBM QRadar avec AQL, le contexte des offenses, des règles personnalisées et les données de référence. Utilisez ce guide pour enquêter sur les incidents, réduire les faux positifs et renforcer la logique de corrélation pour la réponse aux incidents.

containing-active-breach est une skill de réponse à incident dédiée au confinement d’une compromission en cours. Elle aide à isoler des hôtes, bloquer du trafic suspect, désactiver des comptes compromis et ralentir les mouvements latéraux grâce à un guide structuré contenant-active-breach, avec des références pratiques aux API et aux scripts.

building-threat-hunt-hypothesis-framework vous aide à construire des hypothèses de threat hunting testables à partir du renseignement sur les menaces, du mapping ATT&CK et de la télémétrie. Utilisez ce skill building-threat-hunt-hypothesis-framework pour planifier vos chasses, mapper les sources de données, exécuter des requêtes et documenter les résultats dans le cadre du threat hunting et du Threat Modeling avec building-threat-hunt-hypothesis-framework.

La skill analyzing-threat-actor-ttps-with-mitre-attack aide à cartographier des rapports de menace vers les tactiques, techniques et sous-techniques MITRE ATT&CK, à construire des vues de couverture et à prioriser les lacunes de détection. Elle inclut un modèle de rapport, des références ATT&CK et des scripts pour la recherche de techniques et l’analyse des écarts, ce qui la rend utile pour la CTI, le SOC, l’ingénierie de détection et la modélisation des menaces.

La compétence analyzing-powershell-empire-artifacts aide les équipes de Security Audit à détecter les artefacts PowerShell Empire dans les journaux Windows grâce au Script Block Logging, aux schémas de lanceur Base64, aux IOC des stagers, aux signatures de modules et aux références de détection, pour le triage et la rédaction de règles.

Skill d’analyse du PowerShell Script Block Logging pour parser les événements Windows PowerShell Script Block Logging ID 4104 à partir de fichiers EVTX, reconstruire les blocs de script fragmentés et signaler les commandes obfusquées, les charges utiles encodées, les abus de Invoke-Expression, les download cradles et les tentatives de contournement d’AMSI dans un cadre de Security Audit.

La compétence d’analyse des mécanismes de persistance sous Linux aide à enquêter sur la persistance après compromission, notamment les tâches crontab, les unités systemd, les abus de `LD_PRELOAD`, les modifications des profils shell et les backdoors via `authorized_keys` SSH. Elle est conçue pour les workflows de réponse à incident, de threat hunting et d’audit de sécurité, avec `auditd` et des contrôles d’intégrité des fichiers.