Incident Response

exploiting-kerberoasting-with-impacket は、許可されたテスターが Impacket の GetUserSPNs.py を使って Kerberoasting を計画・実行する際に役立ちます。SPN の列挙から TGS チケットの抽出、オフラインでのクラック、検知を意識したレポート作成までをカバーします。侵入テストのワークフローで使うための、導入と利用の文脈が明確な exploiting-kerberoasting-with-impacket ガイドとして活用できます。

detecting-service-account-abuse は、Windows、AD、SIEM、EDR のテレメトリからサービスアカウントの不正利用を見つけるための脅威ハンティングスキルです。不審な対話型ログオン、権限昇格、横展開、アクセス異常に重点を置き、再現性のある調査を支えるハントテンプレート、イベント ID、ワークフロー参照を備えています。

detecting-s3-data-exfiltration-attempts は、CloudTrail の S3 data events、GuardDuty の findings、Amazon Macie の alerts、S3 のアクセスパターンを突き合わせて、AWS S3 でのデータ窃取の可能性を調査するのに役立ちます。Security Audit、インシデント対応、疑わしい一括ダウンロードの分析に、この detecting-s3-data-exfiltration-attempts skill を活用してください。

detecting-rdp-brute-force-attacks は、Windows Security Event Logs を分析して RDP のブルートフォースパターンを見つけるのに役立ちます。たとえば、4625 の失敗が繰り返されるケース、失敗後に 4624 が成功する流れ、NLA 関連のログオン、送信元 IP の集中などを確認できます。Security Audit、脅威ハンティング、EVTX ベースの再現性ある調査に向いています。

detecting-rootkit-activity は、Malware Analysis 向けのスキルで、隠しプロセス、フックされたシステムコール、改変されたカーネル構造、隠しモジュール、密かに残されたネットワーク痕跡など、rootkit の兆候を見つけるために使います。クロスビュー比較と整合性チェックにより、標準ツールの結果が食い違う suspicious host の検証を支援します。

analyzing-usb-device-connection-history は、Windows のレジストリハイブ、イベントログ、`setupapi.dev.log` を使って USB デバイスの接続履歴を調査するのに役立ちます。デジタルフォレンジック、内部不正調査、インシデント対応に対応し、時系列の復元、デバイスの関連付け、リムーバブルメディア証拠の分析を支援します。

analyzing-browser-forensics-with-hindsight は、Hindsight を使って Chromium 系ブラウザのアーティファクトを分析するデジタル・フォレンジクス向けスキルです。履歴、ダウンロード、Cookie、オートフィル、ブックマーク、保存済み認証情報のメタデータ、キャッシュ、拡張機能まで扱えます。Web アクティビティの再構成、タイムラインの確認、Chrome、Edge、Brave、Opera の各プロファイル調査に役立ちます。

analyzing-bootkit-and-rootkit-samples は、MBR、VBR、UEFI、rootkit の調査に使えるマルウェア分析スキルです。OS 層より下で侵害が残り続けるケースで、ブートセクタ、ファームウェアモジュール、anti-rootkit の兆候を確認するのに役立ちます。実務的な手順、わかりやすいワークフロー、そして根拠に基づくトリアージを求める Malware Analysis 担当者に適しています。

detecting-network-anomalies-with-zeek skill は、Zeek を使った受動的なネットワーク監視の導入、構造化ログの確認、ビーコン通信、DNSトンネリング、異常なプロトコル活動を検知するためのカスタム検出の作成を支援します。脅威ハンティング、インシデント対応、SIEM向けのネットワークメタデータ収集、セキュリティ監査のワークフローに適しており、インラインでの防御用途には向きません。

detecting-modbus-command-injection-attacks は、ICS や SCADA 環境における不審な Modbus TCP/RTU の書き込み、異常な機能コード、形式不正のフレーム、ベースラインからの逸脱を見つけるのに役立ちます。インシデントのトリアージ、OT 監視、Security Audit で、一般的な異常検知ではなく Modbus を理解した検知ガイダンスが必要なときに使うのが適しています。

detecting-business-email-compromise スキルは、メールヘッダーの確認、ソーシャルエンジニアリングの兆候、検知ロジック、インシデント対応向けワークフローを通じて、アナリスト、SOCチーム、インシデントレスポンダーがBECの試みを見極めるのを支援します。トリアージ、検証、封じ込めに使える実践的な detecting-business-email-compromise ガイドとして活用してください。

detecting-azure-lateral-movement は、Microsoft Graph の監査ログ、サインイン テレメトリ、KQL の相関分析を使って、Azure AD/Entra ID と Microsoft Sentinel でのラテラルムーブメントを調査するセキュリティアナリスト向けのスキルです。インシデントの一次切り分け、検知ロジックの設計、セキュリティ監査のワークフローで、同意の悪用、サービス プリンシパルの不正利用、トークン窃取、テナント間のピボットをカバーする際に役立ちます。

Wazuh、OSSEC、AIDE を使って HIDS を構築し、ファイル整合性、システム変更、コンプライアンス重視のエンドポイントセキュリティを監視するための configuring-host-based-intrusion-detection ガイドです。Security Audit のワークフローに役立ちます。

hunting-advanced-persistent-threats は、エンドポイント、ネットワーク、メモリの各テレメトリを横断して APT 風の活動を検知するための脅威ハンティング skill です。仮説駆動のハントを組み立て、調査結果を MITRE ATT&CK に対応付け、脅威インテリジェンスを場当たり的な検索ではなく、実用的なクエリと調査手順に落とし込むのに役立ちます。

extracting-windows-event-logs-artifacts は、デジタルフォレンジック、インシデント対応、脅威ハンティング向けに Windows Event Logs（EVTX）を抽出・解析・分析するための skill です。Chainsaw、Hayabusa、EvtxECmd を使って、ログオン、プロセス作成、サービスのインストール、スケジュールタスク、権限変更、ログ消去などを構造的に確認できます。

RekallでWindowsメモリイメージを解析するための extracting-memory-artifacts-with-rekall ガイドです。インストール手順と使い方のパターンを学び、Digital Forensicsで隠しプロセス、注入コード、不審なVAD、読み込まれたDLL、ネットワーク活動を見つける方法を確認できます。

extracting-credentials-from-memory-dump は、Volatility 3 と pypykatz のワークフローを使って、Windows のメモリダンプから NTLM ハッシュ、LSA シークレット、Kerberos 資材、トークンを分析するためのスキルです。有効なダンプから、証拠として耐えうる情報、アカウントへの影響範囲、是正の指針を得たいデジタル・フォレンジックやインシデント対応向けに設計されています。

extracting-browser-history-artifacts は、Chrome、Firefox、Edge からブラウザの履歴、Cookie、キャッシュ、ダウンロード、ブックマークを抽出するデジタル・フォレンジック向け skill です。ブラウザのプロファイルファイルを、再現性のあるケース重視の手順に沿ってタイムライン解析向けの証拠へ変換する用途に適しています。

executing-red-team-exercise は、現実的なレッドチーム演習の計画と進行管理を支援するサイバーセキュリティ技能です。偵察、手法の選定、実行、検知ギャップのレビューまでを通じて敵対者エミュレーションを支え、Security Audit 業務や ATT&CK に準拠した評価に役立ちます。

eradicating-malware-from-infected-systems は、封じ込め後にマルウェア、バックドア、永続化機構を除去するためのサイバーセキュリティ・インシデント対応スキルです。Windows と Linux のクリーンアップ、認証情報のローテーション、原因根本への対処、検証を進めるためのワークフロー指針、参考ファイル、スクリプトが含まれています。

detecting-wmi-persistence skill は、脅威ハンターや DFIR アナリストが、Sysmon の Event ID 19、20、21 を使って Windows テレメトリ内の WMI イベントサブスクリプション永続化を検知するのに役立ちます。悪意ある EventFilter、EventConsumer、FilterToConsumerBinding の活動を特定し、検出結果を検証し、攻撃者の永続化と正当な管理自動化を切り分ける用途に使えます。

GitHub Actions と CI/CD 設定を監査するための detecting-supply-chain-attacks-in-ci-cd skill です。固定されていない actions、スクリプト注入、dependency confusion、シークレット露出、Security Audit ワークフローにおける危険な権限を見つけるのに役立ちます。リポジトリ、ワークフローファイル、または不審なパイプライン変更を確認する際に、明確な検出結果と修正案を得るために使えます。

detecting-stuxnet-style-attacksは、Stuxnet型のOT/ICS侵入パターンの検知を支援するスキルです。PLCロジックの改ざん、偽装されたセンサーデータ、エンジニアリングワークステーションの侵害、ITからOTへのラテラルムーブメントなどを検出できます。プロトコル、ホスト、プロセスの証拠を使った脅威ハンティング、インシデントのトリアージ、プロセス整合性の監視に活用してください。

detecting-ransomware-encryption-behavior は、エントロピー分析、ファイル I/O 監視、行動ベースのヒューリスティックを使って、ランサムウェア型の暗号化を見つけるためのスキルです。大量のファイル変更、連続リネーム、不審なプロセス活動を素早く検知したいときに向いており、インシデント対応、SOC のチューニング、レッドチーム検証で役立ちます。