Incident Response

detecting-lateral-movement-with-zeek é uma skill de cibersegurança baseada em Zeek para threat hunting e resposta a incidentes. Ela ajuda a detectar acesso a admin shares via SMB, criação de serviços por DCE/RPC, spray de NTLM, anomalias de Kerberos e transferências internas suspeitas usando logs do Zeek como `conn.log`, `smb_mapping.log`, `smb_files.log`, `dce_rpc.log`, `ntlm.log` e `kerberos.log`.

A skill analyzing-windows-shellbag-artifacts ajuda analistas de DFIR a interpretar artefatos de Shellbag do Registro do Windows para reconstruir a navegação por pastas, o acesso a pastas apagadas, o uso de mídias removíveis e a atividade em compartilhamentos de rede com SBECmd e ShellBags Explorer. É um guia prático de analyzing-windows-shellbag-artifacts para resposta a incidentes e perícia forense.

analyzing-cobaltstrike-malleable-c2-profiles ajuda a analisar perfis Malleable C2 do Cobalt Strike, convertendo-os em indicadores de C2, traços de evasão e ideias de detecção para fluxos de análise de malware, threat hunting e auditoria de segurança. Usa `dissect.cobaltstrike` e `pyMalleableC2` para análise de perfis e da configuração do beacon.

O exploitng-kerberoasting-with-impacket ajuda testadores autorizados a planejar Kerberoasting com o `GetUserSPNs.py` do Impacket, desde a enumeração de SPNs até a extração de tickets TGS, crack offline e relatórios com foco em detecção. Use este guia de exploiting-kerberoasting-with-impacket para fluxos de teste de intrusão com contexto claro de instalação e uso.

detecting-service-account-abuse é uma skill de threat hunting para encontrar uso indevido de contas de serviço em telemetria do Windows, AD, SIEM e EDR. O foco está em logons interativos suspeitos, escalada de privilégios, movimento lateral e anomalias de acesso, com um template de caça, event IDs e referências de workflow para investigações repetíveis.

A skill detecting-s3-data-exfiltration-attempts ajuda a investigar possíveis roubos de dados no AWS S3 correlacionando eventos de dados do S3 no CloudTrail, findings do GuardDuty, alertas do Amazon Macie e padrões de acesso ao S3. Use esta skill detecting-s3-data-exfiltration-attempts para auditoria de segurança, resposta a incidentes e análise de downloads em massa suspeitos.

O detecting-rdp-brute-force-attacks ajuda a analisar Windows Security Event Logs em busca de padrões de brute force em RDP, incluindo falhas repetidas do Event 4625, sucesso do 4624 após falhas, logons relacionados a NLA e concentração por IP de origem. Use-o para Security Audit, threat hunting e investigações repetíveis com EVTX.

detecting-rootkit-activity é uma skill de Malware Analysis para identificar indícios de rootkit, como processos ocultos, system calls interceptadas, estruturas do kernel alteradas, módulos escondidos e artefatos de rede encobertos. Ela usa comparação entre visões e checagens de integridade para ajudar a validar hosts suspeitos quando as ferramentas padrão não concordam.

analyzing-usb-device-connection-history ajuda a investigar o histórico de conexão de dispositivos USB no Windows usando hives de registro, logs de eventos e setupapi.dev.log para Forense Digital, análise de ameaça interna e resposta a incidentes. O skill apoia a reconstrução de linhas do tempo, a correlação de dispositivos e a análise de evidências de mídias removíveis.

analyzing-browser-forensics-with-hindsight ajuda equipes de Forense Digital a analisar artefatos de navegadores Chromium com o Hindsight, incluindo histórico, downloads, cookies, autofill, favoritos, metadados de credenciais salvas, cache e extensões. Use-o para reconstruir atividades na web, revisar linhas do tempo e investigar perfis do Chrome, Edge, Brave e Opera.

analyzing-bootkit-and-rootkit-samples é uma skill de análise de malware para investigações de MBR, VBR, UEFI e rootkits. Use-a para inspecionar setores de inicialização, módulos de firmware e indicadores anti-rootkit quando a compromissão persiste abaixo da camada do sistema operacional. É indicada para analistas que precisam de um guia prático, um fluxo de trabalho claro e triagem baseada em evidências para Malware Analysis.

A skill de detectar anomalias de rede com Zeek ajuda a implantar o Zeek para monitoramento passivo de rede, revisar logs estruturados e criar detecções personalizadas para beaconing, DNS tunneling e atividades incomuns de protocolos. É indicada para threat hunting, resposta a incidentes, metadados de rede prontos para SIEM e fluxos de trabalho de Security Audit — não para prevenção inline.

detecting-modbus-command-injection-attacks ajuda analistas de segurança a identificar atividade suspeita de gravação em Modbus TCP/RTU, function codes anômalos, frames malformados e desvios de baseline em ambientes ICS e SCADA. Use-o para triagem de incidentes, monitoramento OT e auditoria de segurança quando você precisar de orientação de detecção com noção de Modbus, e não de um prompt genérico para anomalias.

A skill detecting-business-email-compromise ajuda analistas, equipes de SOC e respondedores de incidentes a identificar tentativas de BEC usando checagens de cabeçalhos de e-mail, sinais de engenharia social, lógica de detecção e fluxos de trabalho voltados à resposta. Use-a como um guia prático de detecting-business-email-compromise para triagem, validação e contenção.

detecting-azure-lateral-movement ajuda analistas de segurança a caçar movimentação lateral no Azure AD/Entra ID e no Microsoft Sentinel usando logs de auditoria do Microsoft Graph, telemetria de sign-in e correlação em KQL. Use-o para triagem de incidentes, engenharia de detecções e fluxos de auditoria de segurança que cobrem abuso de consentimento, uso indevido de service principals, roubo de tokens e pivoting entre tenants.

Guia de configuração de HIDS para implementar monitoramento de integridade de arquivos, mudanças no sistema e segurança de endpoint voltada à conformidade com Wazuh, OSSEC ou AIDE, no contexto de fluxos de trabalho de Auditoria de Segurança.

Skill detecting-t1003-credential-dumping-with-edr para threat hunting com EDR, Sysmon e correlação de eventos do Windows para detectar despejo de credenciais em LSASS, SAM, NTDS.dit, segredos do LSA e credenciais em cache. Use para validar alertas, delimitar incidentes e reduzir falsos positivos com orientação prática de fluxo de trabalho.

detecting-dcsync-attack-in-active-directory é uma skill de threat hunting para identificar abuso de DCSync no Active Directory, correlacionando eventos 4662, GUIDs de replicação e contas legítimas de DC. Use-a para confirmar, priorizar e documentar atividades de roubo de credenciais com Splunk, KQL e scripts de parsing.

detecting-container-escape-with-falco-rules ajuda a detectar tentativas de escape de contêiner com regras de segurança em runtime do Falco. O foco está em sinais de syscalls, contêineres privilegiados, abuso de host path, validação e fluxos de resposta a incidentes em ambientes Linux e Kubernetes com contêineres.

analyzing-malware-persistence-with-autoruns é uma skill de Sysinternals Autoruns para análise de malware. Ela ajuda você a inspecionar a persistência no Windows em chaves Run, serviços, tarefas agendadas, Winlogon, drivers e WMI, usando um fluxo de trabalho repetível com exportação em CSV, revisão de entradas suspeitas e achados prontos para relatório.

hunting-advanced-persistent-threats é uma skill de caça a ameaças para detectar atividades no estilo APT em telemetria de endpoint, rede e memória. Ela ajuda analistas a criar hunts guiados por hipóteses, mapear descobertas para o MITRE ATT&CK e transformar inteligência de ameaças em consultas práticas e passos de investigação, em vez de buscas ad hoc.

A skill extracting-windows-event-logs-artifacts ajuda você a extrair, interpretar e analisar Windows Event Logs (EVTX) para perícia digital, resposta a incidentes e threat hunting. Ela dá suporte à revisão estruturada de logons, criação de processos, instalação de serviços, tarefas agendadas, alterações de privilégios e limpeza de logs com Chainsaw, Hayabusa e EvtxECmd.

Guia de extracting-memory-artifacts-with-rekall para analisar imagens de memória do Windows com o Rekall. Aprenda padrões de instalação e uso para encontrar processos ocultos, código injetado, VADs suspeitos, DLLs carregadas e atividade de rede para Forense Digital.

A skill extracting-credentials-from-memory-dump ajuda a analisar dumps de memória do Windows em busca de hashes NTLM, segredos LSA, material Kerberos e tokens, usando fluxos de trabalho com Volatility 3 e pypykatz. Ela foi feita para Digital Forensics e resposta a incidentes quando você precisa de evidências defensáveis, avaliar o impacto em contas e orientar a remediação a partir de um dump válido.