Powershell

extracting-windows-event-logs-artifacts는 디지털 포렌식, 사고 대응, 위협 헌팅을 위해 Windows Event Logs(EVTX)를 추출, 파싱, 분석하는 데 도움을 줍니다. Chainsaw, Hayabusa, EvtxECmd를 사용해 로그온, 프로세스 생성, 서비스 설치, 예약 작업, 권한 변경, 로그 삭제를 체계적으로 검토할 수 있습니다.

exploiting-constrained-delegation-abuse 스킬은 Kerberos 제약 위임(constrained delegation) 악용에 대한 Active Directory의 허가된 테스트를 돕는 안내서입니다. 열거, S4U2self 및 S4U2proxy 티켓 요청, 그리고 측면 이동이나 권한 상승으로 이어질 수 있는 실무 경로를 다룹니다. 일반적인 Kerberos 개요가 아니라, 반복 가능한 침투 테스트 가이드가 필요할 때 적합합니다.

eradicating-malware-from-infected-systems는 격리 이후 감염 시스템에서 악성코드, 백도어, 지속성 메커니즘을 제거하는 사이버 보안 사고 대응 스킬입니다. Windows와 Linux 정리용 워크플로 안내, 참고 파일, 스크립트는 물론 자격 증명 교체, 근본 원인 수정, 검증 절차까지 포함합니다.

detecting-mimikatz-execution-patterns는 명령줄 패턴, LSASS 접근 신호, 바이너리 지표, 메모리 아티팩트를 활용해 Mimikatz 실행을 탐지하도록 돕습니다. Security Audit, 헌팅, 인시던트 대응에 이 detecting-mimikatz-execution-patterns 스킬을 설치해 템플릿, 참고 자료, 워크플로 가이드를 활용하세요.

Security Audit, 위협 헌팅, 사고 대응을 위한 detecting-living-off-the-land-attacks 스킬입니다. `certutil`, `mshta`, `rundll32`, `regsvr32` 같은 합법적 Windows 바이너리의 악용을 프로세스 생성, 명령줄, 부모-자식 관계 텔레메트리로 탐지합니다. 이 가이드는 Windows 전반의 하드닝이 아니라, 바로 적용 가능한 LOLBin 탐지 패턴에 초점을 맞춥니다.

detecting-fileless-malware-techniques 스킬은 PowerShell, WMI, .NET 리플렉션, 레지스트리 상주 페이로드, LOLBin을 통해 메모리에서 실행되는 파일리스 멀웨어를 분석하는 Malware Analysis 워크플로를 지원합니다. 의심 경보를 근거 있는 트리아지, 탐지 아이디어, 다음 단계 헌팅으로 전환할 때 활용하세요.

detecting-fileless-attacks-on-endpoints는 Windows 엔드포인트에서 메모리 상에서만 동작하는 공격을 탐지하도록 도와줍니다. PowerShell 악용, WMI 지속성, reflective loading, 프로세스 인젝션 등을 포함합니다. Security Audit, 위협 헌팅, 탐지 엔지니어링에 활용할 수 있으며, Sysmon, AMSI, PowerShell 로깅과 함께 쓰기 좋습니다.

Microsoft Defender for Endpoint 강화용 configuring-windows-defender-advanced-settings skill입니다. ASR 규칙, 제어된 폴더 액세스, 네트워크 보호, 취약점 차단 보호, 배포 계획, 보안 엔지니어·IT 관리자·Security Audit 워크플로우를 위한 감사 우선 롤아웃 가이드를 다룹니다.

analyzing-windows-registry-for-artifacts는 분석가가 Windows Registry 하이브에서 증거를 추출해 사용자 활동, 설치된 소프트웨어, 자동 실행, USB 기록, 침해 지표를 식별하고, 사고 대응 또는 보안 감사 워크플로에 활용할 수 있도록 돕습니다.

analyzing-windows-amcache-artifacts skill은 Windows Amcache.hve 데이터를 파싱해 프로그램 실행 흔적, 설치된 소프트웨어, 장치 활동, 드라이버 로딩 증거를 복원하며, DFIR 및 보안 감사 워크플로에 활용됩니다. AmcacheParser와 regipy 기반 가이드를 사용해 아티팩트 추출, SHA-1 상관 분석, 타임라인 검토를 지원합니다.

analyzing-powershell-empire-artifacts 스킬은 Security Audit 팀이 Script Block Logging, Base64 launcher 패턴, stager IOC, module signature, 탐지 참고 자료를 활용해 Windows 로그에서 PowerShell Empire 아티팩트를 식별하고 triage 및 룰 작성에 활용할 수 있도록 돕습니다.

EVTX 파일에서 Windows PowerShell Script Block Logging 이벤트 ID 4104를 파싱하고, 분할된 스크립트 블록을 복원하며, 난독화된 명령, 인코딩된 페이로드, Invoke-Expression 남용, 다운로드 크래들, AMSI 우회 시도를 식별해 Security Audit 작업에 활용하는 analyzing-powershell-script-block-logging 스킬입니다.