Incident Response

detecting-lateral-movement-with-zeek は、Zeek を使った脅威ハンティングとインシデント対応向けのサイバーセキュリティスキルです。conn.log、smb_mapping.log、smb_files.log、dce_rpc.log、ntlm.log、kerberos.log といった Zeek ログを使い、SMB の管理共有アクセス、DCE/RPC のサービス作成、NTLM スプレー、Kerberos の異常、内部での不審な転送などを検知するのに役立ちます。

analyzing-windows-shellbag-artifacts は、DFIRアナリストが Windows の Shellbag レジストリアーティファクトを読み解き、フォルダ閲覧履歴、削除済みフォルダへのアクセス、リムーバブルメディアの使用、ネットワーク共有の利用状況を SBECmd と ShellBags Explorer で再構成するのに役立ちます。インシデントレスポンスとフォレンジックのための、実践的な analyzing-windows-shellbag-artifacts ガイドです。

analyzing-cobaltstrike-malleable-c2-profiles は、Cobalt Strike の Malleable C2 プロファイルを解析し、C2 の指標、回避特性、検知アイデアを抽出することで、マルウェア分析、脅威ハンティング、Security Audit のワークフローを支援します。プロファイルと beacon 設定の解析には `dissect.cobaltstrike` と `pyMalleableC2` を使用します。

exploiting-kerberoasting-with-impacket は、許可されたテスターが Impacket の GetUserSPNs.py を使って Kerberoasting を計画・実行する際に役立ちます。SPN の列挙から TGS チケットの抽出、オフラインでのクラック、検知を意識したレポート作成までをカバーします。侵入テストのワークフローで使うための、導入と利用の文脈が明確な exploiting-kerberoasting-with-impacket ガイドとして活用できます。

detecting-service-account-abuse は、Windows、AD、SIEM、EDR のテレメトリからサービスアカウントの不正利用を見つけるための脅威ハンティングスキルです。不審な対話型ログオン、権限昇格、横展開、アクセス異常に重点を置き、再現性のある調査を支えるハントテンプレート、イベント ID、ワークフロー参照を備えています。

detecting-s3-data-exfiltration-attempts は、CloudTrail の S3 data events、GuardDuty の findings、Amazon Macie の alerts、S3 のアクセスパターンを突き合わせて、AWS S3 でのデータ窃取の可能性を調査するのに役立ちます。Security Audit、インシデント対応、疑わしい一括ダウンロードの分析に、この detecting-s3-data-exfiltration-attempts skill を活用してください。

detecting-rdp-brute-force-attacks は、Windows Security Event Logs を分析して RDP のブルートフォースパターンを見つけるのに役立ちます。たとえば、4625 の失敗が繰り返されるケース、失敗後に 4624 が成功する流れ、NLA 関連のログオン、送信元 IP の集中などを確認できます。Security Audit、脅威ハンティング、EVTX ベースの再現性ある調査に向いています。

detecting-rootkit-activity は、Malware Analysis 向けのスキルで、隠しプロセス、フックされたシステムコール、改変されたカーネル構造、隠しモジュール、密かに残されたネットワーク痕跡など、rootkit の兆候を見つけるために使います。クロスビュー比較と整合性チェックにより、標準ツールの結果が食い違う suspicious host の検証を支援します。

analyzing-usb-device-connection-history は、Windows のレジストリハイブ、イベントログ、`setupapi.dev.log` を使って USB デバイスの接続履歴を調査するのに役立ちます。デジタルフォレンジック、内部不正調査、インシデント対応に対応し、時系列の復元、デバイスの関連付け、リムーバブルメディア証拠の分析を支援します。

analyzing-browser-forensics-with-hindsight は、Hindsight を使って Chromium 系ブラウザのアーティファクトを分析するデジタル・フォレンジクス向けスキルです。履歴、ダウンロード、Cookie、オートフィル、ブックマーク、保存済み認証情報のメタデータ、キャッシュ、拡張機能まで扱えます。Web アクティビティの再構成、タイムラインの確認、Chrome、Edge、Brave、Opera の各プロファイル調査に役立ちます。

analyzing-bootkit-and-rootkit-samples は、MBR、VBR、UEFI、rootkit の調査に使えるマルウェア分析スキルです。OS 層より下で侵害が残り続けるケースで、ブートセクタ、ファームウェアモジュール、anti-rootkit の兆候を確認するのに役立ちます。実務的な手順、わかりやすいワークフロー、そして根拠に基づくトリアージを求める Malware Analysis 担当者に適しています。

detecting-network-anomalies-with-zeek skill は、Zeek を使った受動的なネットワーク監視の導入、構造化ログの確認、ビーコン通信、DNSトンネリング、異常なプロトコル活動を検知するためのカスタム検出の作成を支援します。脅威ハンティング、インシデント対応、SIEM向けのネットワークメタデータ収集、セキュリティ監査のワークフローに適しており、インラインでの防御用途には向きません。

detecting-modbus-command-injection-attacks は、ICS や SCADA 環境における不審な Modbus TCP/RTU の書き込み、異常な機能コード、形式不正のフレーム、ベースラインからの逸脱を見つけるのに役立ちます。インシデントのトリアージ、OT 監視、Security Audit で、一般的な異常検知ではなく Modbus を理解した検知ガイダンスが必要なときに使うのが適しています。

detecting-business-email-compromise スキルは、メールヘッダーの確認、ソーシャルエンジニアリングの兆候、検知ロジック、インシデント対応向けワークフローを通じて、アナリスト、SOCチーム、インシデントレスポンダーがBECの試みを見極めるのを支援します。トリアージ、検証、封じ込めに使える実践的な detecting-business-email-compromise ガイドとして活用してください。

detecting-azure-lateral-movement は、Microsoft Graph の監査ログ、サインイン テレメトリ、KQL の相関分析を使って、Azure AD/Entra ID と Microsoft Sentinel でのラテラルムーブメントを調査するセキュリティアナリスト向けのスキルです。インシデントの一次切り分け、検知ロジックの設計、セキュリティ監査のワークフローで、同意の悪用、サービス プリンシパルの不正利用、トークン窃取、テナント間のピボットをカバーする際に役立ちます。

Wazuh、OSSEC、AIDE を使って HIDS を構築し、ファイル整合性、システム変更、コンプライアンス重視のエンドポイントセキュリティを監視するための configuring-host-based-intrusion-detection ガイドです。Security Audit のワークフローに役立ちます。

EDR、Sysmon、Windowsイベントの相関を使って T1003 の credential dumping を検知するための detecting-t1003-credential-dumping-with-edr スキルです。LSASS、SAM、NTDS.dit、LSA secrets、キャッシュされた認証情報のダンプを見つけるための脅威ハンティングに使えます。アラートの妥当性確認、インシデントの範囲特定、実用的なワークフロー指針による誤検知の低減に役立ちます。

detecting-dcsync-attack-in-active-directory は、Active DirectoryにおけるDCSync悪用を見つけるための脅威ハンティング用スキルです。4662イベント、レプリケーションGUID、正規のDCアカウントを相関させて調査します。Splunk、KQL、解析スクリプトを使って、資格情報窃取の兆候を確認・トリアージ・記録するのに役立ちます。

detecting-container-escape-with-falco-rules は、Falco のランタイムセキュリティルールでコンテナ脱出の試みを検知するためのスキルです。システムコールのシグナル、特権コンテナ、ホストパスの悪用、検証、インシデント対応のワークフローに重点を置き、Kubernetes と Linux のコンテナ環境での運用を支援します。

analyzing-malware-persistence-with-autoruns は、マルウェア分析向けの Sysinternals Autoruns スキルです。Run キー、サービス、スケジュール済みタスク、Winlogon、ドライバー、WMI などの Windows 永続化を確認し、CSV エクスポート、疑わしい項目のレビュー、レポート化しやすい調査結果まで、再現性のあるワークフローで支援します。

hunting-advanced-persistent-threats は、エンドポイント、ネットワーク、メモリの各テレメトリを横断して APT 風の活動を検知するための脅威ハンティング skill です。仮説駆動のハントを組み立て、調査結果を MITRE ATT&CK に対応付け、脅威インテリジェンスを場当たり的な検索ではなく、実用的なクエリと調査手順に落とし込むのに役立ちます。

extracting-windows-event-logs-artifacts は、デジタルフォレンジック、インシデント対応、脅威ハンティング向けに Windows Event Logs（EVTX）を抽出・解析・分析するための skill です。Chainsaw、Hayabusa、EvtxECmd を使って、ログオン、プロセス作成、サービスのインストール、スケジュールタスク、権限変更、ログ消去などを構造的に確認できます。

RekallでWindowsメモリイメージを解析するための extracting-memory-artifacts-with-rekall ガイドです。インストール手順と使い方のパターンを学び、Digital Forensicsで隠しプロセス、注入コード、不審なVAD、読み込まれたDLL、ネットワーク活動を見つける方法を確認できます。

extracting-credentials-from-memory-dump は、Volatility 3 と pypykatz のワークフローを使って、Windows のメモリダンプから NTLM ハッシュ、LSA シークレット、Kerberos 資材、トークンを分析するためのスキルです。有効なダンプから、証拠として耐えうる情報、アカウントへの影響範囲、是正の指針を得たいデジタル・フォレンジックやインシデント対応向けに設計されています。