Splunk

detecting-service-account-abuse는 Windows, AD, SIEM, EDR 텔레메트리 전반에서 서비스 계정 오남용을 찾기 위한 위협 헌팅 skill입니다. 의심스러운 대화형 로그온, 권한 상승, 측면 이동, 접근 이상 징후에 초점을 맞추며, 반복 가능한 조사를 돕는 헌트 템플릿, 이벤트 ID, 워크플로 참조를 제공합니다.

detecting-azure-service-principal-abuse는 Azure에서 Microsoft Entra ID 서비스 주체 활동 중 의심스러운 징후를 탐지, 조사, 문서화하는 데 도움을 줍니다. Security Audit, 클라우드 사고 대응, 위협 헌팅에 활용해 자격 증명 변경, 관리자 동의 악용, 역할 할당, 소유권 경로, 로그인 이상 징후를 점검하세요.

analyzing-security-logs-with-splunk는 Windows, 방화벽, 프록시, 인증 로그를 타임라인과 증거로 연결해 Splunk에서 보안 이벤트를 조사하는 데 도움을 줍니다. 이 analyzing-security-logs-with-splunk 스킬은 Security Audit, 인시던트 대응, 위협 헌팅에 적합한 실무형 가이드입니다.

detecting-privilege-escalation-attempts는 Windows와 Linux에서 권한 상승을 추적하는 데 도움이 되며, 토큰 조작, UAC 우회, 따옴표가 없는 서비스 경로, 커널 익스플로잇, sudo/doas 오용까지 포함합니다. 실무적인 워크플로, 참고용 쿼리, 보조 스크립트가 필요한 위협 헌팅 팀을 위해 설계되었습니다.

detecting-pass-the-ticket-attacks는 Windows 보안 이벤트 ID 4768, 4769, 4771을 상호 연관해 Kerberos Pass-the-Ticket 활동을 탐지하도록 돕습니다. Splunk 또는 Elastic에서 위협 헌팅에 사용해 티켓 재사용, RC4 다운그레이드, 비정상적인 TGS 증가를 실용적인 쿼리와 필드 안내로 찾아낼 수 있습니다.

Windows Security 로그, Splunk, KQL을 활용해 NTLM 기반 측면 이동, 의심스러운 Type 3 로그온, T1550.002 활동을 추적하는 detecting-pass-the-hash-attacks skill입니다.

detecting-lateral-movement-in-network는 Windows 이벤트 로그, Zeek 텔레메트리, SMB, RDP, SIEM 상관분석을 활용해 침해 이후 기업 네트워크에서의 측면 이동을 탐지하는 데 도움이 됩니다. 위협 헌팅, 사고 대응, Security Audit 검토를 위한 detecting-lateral-movement-in-network에 유용하며, 실무적인 탐지 워크플로를 제공합니다.

detecting-kerberoasting-attacks skill은 의심스러운 Kerberos TGS 요청, 약한 티켓 암호화, 서비스 계정 패턴을 찾아 Kerberoasting을 헌팅하는 데 도움을 줍니다. SIEM, EDR, EVTX, Threat Modeling 워크플로에서 실용적인 탐지 템플릿과 튜닝 가이드를 활용할 때 적합합니다.

detecting-insider-threat-behaviors는 비정상적인 데이터 접근, 근무 시간 외 활동, 대량 다운로드, 권한 남용, 퇴사 연계 유출 같은 내부자 위험 신호를 찾는 분석가를 돕습니다. 이 detecting-insider-threat-behaviors 가이드는 워크플로 템플릿, SIEM 쿼리 예시, 위험 가중치를 통해 위협 헌팅, UEBA 스타일 트리아지, 위협 모델링에 활용할 수 있습니다.

detecting-golden-ticket-forgery는 Windows 이벤트 ID 4769, RC4 다운그레이드 사용(0x17), 비정상적인 티켓 수명, 그리고 Splunk와 Elastic에서의 krbtgt 이상 징후를 분석해 Kerberos Golden Ticket 위조를 탐지합니다. Security Audit, 사고 조사, 위협 헌팅을 위해 실용적인 탐지 가이드를 제공합니다.

detecting-email-forwarding-rules-attack skill은 Security Audit, 위협 헌팅, 사고 대응 팀이 지속성 확보와 이메일 수집에 악용되는 악성 사서함 전달 규칙을 찾아내는 데 도움을 줍니다. Microsoft 365와 Exchange의 증거를 바탕으로 분석을 안내하고, 의심스러운 규칙 패턴과 전달, 리디렉션, 삭제, 숨김 동작에 대한 실용적인 트리아주까지 다룹니다.

detecting-dll-sideloading-attacks는 Security Audit, 위협 헌팅, 인시던트 대응 팀이 Sysmon, EDR, MDE, Splunk로 DLL 사이드로딩을 탐지하도록 돕습니다. 이 detecting-dll-sideloading-attacks 가이드에는 워크플로 노트, 헌팅 템플릿, 표준 매핑, 그리고 의심스러운 DLL 로드를 반복 가능한 탐지로 바꾸는 스크립트가 포함되어 있습니다.

deploying-edr-agent-with-crowdstrike는 Windows, macOS, Linux 엔드포인트 전반에 CrowdStrike Falcon sensor를 배포할 때 계획, 설치, 검증을 돕습니다. 설치 안내, 정책 설정, telemetry-to-SIEM 연동, Incident Response 준비가 필요할 때 이 deploying-edr-agent-with-crowdstrike skill을 활용하세요.

building-threat-hunt-hypothesis-framework는 위협 인텔리전스, ATT&CK 매핑, 텔레메트리를 바탕으로 검증 가능한 위협 헌트 가설을 세우는 데 도움을 줍니다. 이 building-threat-hunt-hypothesis-framework 스킬을 사용해 헌트 계획을 세우고, 데이터 소스를 매핑하고, 쿼리를 실행하고, 결과를 문서화하여 Threat Modeling을 위한 threat hunting과 building-threat-hunt-hypothesis-framework 작업에 활용하세요.

building-soc-metrics-and-kpi-tracking 스킬은 SOC 활동 데이터를 MTTD, MTTR, 알림 품질, 분석가 생산성, 탐지 범위 같은 KPI로 바꿉니다. Splunk 기반 워크플로로 뒷받침되는 반복 가능한 리포팅, 추세 추적, 경영진 친화적 지표가 필요한 SOC 리더십, 보안 운영, 옵저버빌리티 팀에 적합합니다.

building-incident-response-dashboard는 Splunk, Elastic, Grafana에서 실시간 사고 대응 대시보드를 구축하도록 돕습니다. 활성 사고 추적, 차단 상태, 영향받은 자산, IOC 확산, 대응 타임라인을 한눈에 볼 수 있게 구성할 수 있습니다. SOC 분석가, 인시던트 커맨더, 경영진을 위한 집중형 대시보드가 필요할 때 이 building-incident-response-dashboard 스킬을 사용하세요.

building-detection-rules-with-sigma는 위협 인텔이나 벤더 규칙을 바탕으로 이식 가능한 Sigma 탐지 규칙을 만들고, 이를 MITRE ATT&CK에 매핑한 뒤 Splunk, Elastic, Microsoft Sentinel 같은 SIEM용으로 변환하는 데 도움을 줍니다. 보안 감사 워크플로, 표준화, detection-as-code에 이 building-detection-rules-with-sigma 가이드를 활용하세요.

building-detection-rule-with-splunk-spl은 SOC 분석가와 탐지 엔지니어가 위협 탐지, 튜닝, Security Audit 검토를 위한 Splunk SPL 상관 검색을 구축하도록 돕습니다. 탐지 요약을 MITRE 매핑, 보강, 검증 지침이 포함된 배포 가능한 규칙으로 바꾸는 데 활용할 수 있습니다.

analyzing-windows-event-logs-in-splunk skill은 SOC 분석가가 Splunk에서 Windows Security, System, Sysmon 로그를 조사해 인증 공격, 권한 상승, 지속성, 측면 이동을 파악하도록 돕습니다. 인시던트 분류, 탐지 엔지니어링, 타임라인 분석에 활용할 수 있으며, 매핑된 SPL 패턴과 이벤트 ID 가이드를 함께 제공합니다.

analyzing-dns-logs-for-exfiltration는 SOC 분석가가 SIEM 또는 Zeek 로그에서 DNS 터널링, DGA 유사 도메인, TXT 남용, 은밀한 C2 패턴을 탐지하도록 돕습니다. 엔트로피 분석, 쿼리량 이상 징후, 실전형 트리아지 가이드가 필요할 때 Security Audit 워크플로에 활용하세요.