Siem

detecting-rdp-brute-force-attacks는 Windows Security Event Logs에서 RDP 무차별 대입 패턴을 분석하는 데 도움이 됩니다. 반복되는 4625 실패, 실패 후 4624 성공, NLA 관련 로그인, 소스 IP 집중 현상 등을 확인할 수 있습니다. 보안 감사, 위협 헌팅, 반복 가능한 EVTX 기반 조사에 적합합니다.

Wazuh, OSSEC, AIDE를 활용해 HIDS를 구축하고 파일 무결성, 시스템 변경 사항, 규정 준수 중심의 엔드포인트 보안을 모니터링하기 위한 configuring-host-based-intrusion-detection 가이드입니다. Security Audit 워크플로에 맞춰 설계되었습니다.

analyzing-security-logs-with-splunk는 Windows, 방화벽, 프록시, 인증 로그를 타임라인과 증거로 연결해 Splunk에서 보안 이벤트를 조사하는 데 도움을 줍니다. 이 analyzing-security-logs-with-splunk 스킬은 Security Audit, 인시던트 대응, 위협 헌팅에 적합한 실무형 가이드입니다.

detecting-mimikatz-execution-patterns는 명령줄 패턴, LSASS 접근 신호, 바이너리 지표, 메모리 아티팩트를 활용해 Mimikatz 실행을 탐지하도록 돕습니다. Security Audit, 헌팅, 인시던트 대응에 이 detecting-mimikatz-execution-patterns 스킬을 설치해 템플릿, 참고 자료, 워크플로 가이드를 활용하세요.

Security Audit, 위협 헌팅, 사고 대응을 위한 detecting-living-off-the-land-attacks 스킬입니다. `certutil`, `mshta`, `rundll32`, `regsvr32` 같은 합법적 Windows 바이너리의 악용을 프로세스 생성, 명령줄, 부모-자식 관계 텔레메트리로 탐지합니다. 이 가이드는 Windows 전반의 하드닝이 아니라, 바로 적용 가능한 LOLBin 탐지 패턴에 초점을 맞춥니다.

detecting-lateral-movement-in-network는 Windows 이벤트 로그, Zeek 텔레메트리, SMB, RDP, SIEM 상관분석을 활용해 침해 이후 기업 네트워크에서의 측면 이동을 탐지하는 데 도움이 됩니다. 위협 헌팅, 사고 대응, Security Audit 검토를 위한 detecting-lateral-movement-in-network에 유용하며, 실무적인 탐지 워크플로를 제공합니다.

detecting-kerberoasting-attacks skill은 의심스러운 Kerberos TGS 요청, 약한 티켓 암호화, 서비스 계정 패턴을 찾아 Kerberoasting을 헌팅하는 데 도움을 줍니다. SIEM, EDR, EVTX, Threat Modeling 워크플로에서 실용적인 탐지 템플릿과 튜닝 가이드를 활용할 때 적합합니다.

detecting-insider-threat-with-ueba는 Elasticsearch 또는 OpenSearch에서 내부자 위협 사례를 위한 UEBA 탐지를 구축하도록 돕습니다. 행동 기준선, 이상 점수화, 피어 그룹 분석, 데이터 유출·권한 남용·무단 액세스에 대한 상관 분석 경보를 포함하며, Incident Response 워크플로에 적합합니다.

detecting-insider-threat-behaviors는 비정상적인 데이터 접근, 근무 시간 외 활동, 대량 다운로드, 권한 남용, 퇴사 연계 유출 같은 내부자 위험 신호를 찾는 분석가를 돕습니다. 이 detecting-insider-threat-behaviors 가이드는 워크플로 템플릿, SIEM 쿼리 예시, 위험 가중치를 통해 위협 헌팅, UEBA 스타일 트리아지, 위협 모델링에 활용할 수 있습니다.

detecting-fileless-attacks-on-endpoints는 Windows 엔드포인트에서 메모리 상에서만 동작하는 공격을 탐지하도록 도와줍니다. PowerShell 악용, WMI 지속성, reflective loading, 프로세스 인젝션 등을 포함합니다. Security Audit, 위협 헌팅, 탐지 엔지니어링에 활용할 수 있으며, Sysmon, AMSI, PowerShell 로깅과 함께 쓰기 좋습니다.

detecting-email-forwarding-rules-attack skill은 Security Audit, 위협 헌팅, 사고 대응 팀이 지속성 확보와 이메일 수집에 악용되는 악성 사서함 전달 규칙을 찾아내는 데 도움을 줍니다. Microsoft 365와 Exchange의 증거를 바탕으로 분석을 안내하고, 의심스러운 규칙 패턴과 전달, 리디렉션, 삭제, 숨김 동작에 대한 실용적인 트리아주까지 다룹니다.

detecting-attacks-on-scada-systems는 SCADA 및 OT/ICS 환경에서 공격을 찾아내는 사이버 보안 스킬입니다. 산업용 프로토콜 오용, 무단 PLC 명령, HMI 침해, historian 변조, 서비스 거부 공격을 분석하는 데 도움을 주며, 사고 대응과 탐지 검증을 위한 실용적인 가이드를 제공합니다.

detecting-anomalous-authentication-patterns는 불가능한 이동(impossible travel), 무차별 대입(brute force), 패스워드 스프레이(password spraying), 크리덴셜 스터핑(credential stuffing), 계정 탈취 의심 활동을 포함한 인증 로그 분석을 지원합니다. 보안 감사, SOC, IAM, 사고 대응 워크플로에 맞춰 설계되었으며, 기준선 인식 탐지와 증거 기반 로그인 분석을 제공합니다.

엔드포인트 가시성, 전체 자산 모니터링, SQL 기반 위협 헌팅을 위해 osquery를 배포하고 구성하는 deploying-osquery-for-endpoint-monitoring 가이드입니다. 설치 계획을 세우고, 워크플로와 API 참고 자료를 검토하며, Windows, macOS, Linux 엔드포인트 전반에서 예약 쿼리, 로그 수집, 중앙 집중식 검토를 운영하는 데 활용하세요.

deploying-edr-agent-with-crowdstrike는 Windows, macOS, Linux 엔드포인트 전반에 CrowdStrike Falcon sensor를 배포할 때 계획, 설치, 검증을 돕습니다. 설치 안내, 정책 설정, telemetry-to-SIEM 연동, Incident Response 준비가 필요할 때 이 deploying-edr-agent-with-crowdstrike skill을 활용하세요.

correlating-security-events-in-qradar는 SOC 및 탐지 팀이 IBM QRadar의 오펀스와 AQL, 오펀스 컨텍스트, 사용자 정의 규칙, 참조 데이터를 연계해 분석하도록 돕습니다. 이 가이드를 사용하면 인시던트를 조사하고, 오탐을 줄이며, Incident Response를 위한 더 강력한 상관분석 로직을 구축할 수 있습니다.

configuring-suricata-for-network-monitoring 스킬은 Suricata를 IDS/IPS 모니터링, EVE JSON 로깅, 룰 관리, SIEM 연동용 출력에 맞게 배포하고 조정하는 데 도움을 줍니다. 보안 감사 업무에서 실무형 설정, 검증, 오탐 감소가 필요할 때 적합합니다.

conducting-malware-incident-response는 IR 팀이 의심스러운 악성코드를 분류하고, 감염 여부를 확인하며, 확산 범위를 파악하고, 엔드포인트를 차단한 뒤, 제거와 복구를 지원하도록 돕습니다. 증거 기반 단계, 텔레메트리 중심 의사결정, 실무적인 격리 지침을 바탕으로 사고 대응 워크플로에서 conducting-malware-incident-response를 수행할 수 있도록 설계되었습니다.

building-vulnerability-scanning-workflow는 SOC 팀이 자산 전반에 걸쳐 취약점 탐색, 우선순위 지정, 조치 추적, 보고까지 반복 가능한 취약점 스캐닝 프로세스를 설계하도록 돕습니다. 이 스킬은 스캐너 오케스트레이션, CISA KEV를 반영한 위험 순위화, 그리고 단발성 스캔을 넘어서는 워크플로 안내를 통해 보안 감사(Security Audit) 활용 사례를 지원합니다.

building-threat-hunt-hypothesis-framework는 위협 인텔리전스, ATT&CK 매핑, 텔레메트리를 바탕으로 검증 가능한 위협 헌트 가설을 세우는 데 도움을 줍니다. 이 building-threat-hunt-hypothesis-framework 스킬을 사용해 헌트 계획을 세우고, 데이터 소스를 매핑하고, 쿼리를 실행하고, 결과를 문서화하여 Threat Modeling을 위한 threat hunting과 building-threat-hunt-hypothesis-framework 작업에 활용하세요.

building-threat-feed-aggregation-with-misp는 MISP를 배포해 위협 인텔리전스 피드를 중앙에서 관리하는 IOC 저장소로 통합하고, 상관분석하며, 공유할 수 있게 돕습니다. 이 스킬 가이드는 설치 및 활용 패턴, 피드 동기화, API 작업, 그리고 Threat Intelligence 팀을 위한 실무 워크플로 단계를 다룹니다.

building-soc-metrics-and-kpi-tracking 스킬은 SOC 활동 데이터를 MTTD, MTTR, 알림 품질, 분석가 생산성, 탐지 범위 같은 KPI로 바꿉니다. Splunk 기반 워크플로로 뒷받침되는 반복 가능한 리포팅, 추세 추적, 경영진 친화적 지표가 필요한 SOC 리더십, 보안 운영, 옵저버빌리티 팀에 적합합니다.

building-detection-rules-with-sigma는 위협 인텔이나 벤더 규칙을 바탕으로 이식 가능한 Sigma 탐지 규칙을 만들고, 이를 MITRE ATT&CK에 매핑한 뒤 Splunk, Elastic, Microsoft Sentinel 같은 SIEM용으로 변환하는 데 도움을 줍니다. 보안 감사 워크플로, 표준화, detection-as-code에 이 building-detection-rules-with-sigma 가이드를 활용하세요.

building-detection-rule-with-splunk-spl은 SOC 분석가와 탐지 엔지니어가 위협 탐지, 튜닝, Security Audit 검토를 위한 Splunk SPL 상관 검색을 구축하도록 돕습니다. 탐지 요약을 MITRE 매핑, 보강, 검증 지침이 포함된 배포 가능한 규칙으로 바꾸는 데 활용할 수 있습니다.