Wmi

Le skill detecting-wmi-persistence aide les threat hunters et les analystes DFIR à détecter la persistance par abonnement d’événements WMI dans la télémétrie Windows à l’aide des Event ID Sysmon 19, 20 et 21. Servez-vous-en pour repérer des activités malveillantes EventFilter, EventConsumer et FilterToConsumerBinding, valider les résultats et distinguer une persistance d’attaquant d’une automatisation d’administration légitime.

Le skill de détection d’attaques de type Stuxnet aide les équipes défensives à repérer des schémas d’intrusion OT et ICS inspirés de Stuxnet, notamment la falsification de la logique PLC, les données capteurs usurpées, la compromission d’un poste d’ingénierie et les mouvements latéraux de l’IT vers l’OT. Utilisez-le pour la chasse aux menaces, le triage des incidents et la surveillance de l’intégrité des processus, à partir d’indices issus des protocoles, des hôtes et des processus.

La skill de détection des techniques de malware fileless accompagne les workflows d’analyse de malwares pour enquêter sur les menaces sans fichier qui s’exécutent en mémoire via PowerShell, WMI, la réflexion .NET, des charges utiles résidant dans le registre et des LOLBins. Utilisez-la pour passer d’alertes suspectes à un triage étayé par des preuves, à des idées de détection et à des pistes de chasse à suivre.