Powershell

A skill extracting-windows-event-logs-artifacts ajuda você a extrair, interpretar e analisar Windows Event Logs (EVTX) para perícia digital, resposta a incidentes e threat hunting. Ela dá suporte à revisão estruturada de logons, criação de processos, instalação de serviços, tarefas agendadas, alterações de privilégios e limpeza de logs com Chainsaw, Hayabusa e EvtxECmd.

A skill exploiting-constrained-delegation-abuse orienta testes autorizados em Active Directory sobre abuso de delegação restrita do Kerberos. Ele cobre enumeração, solicitações de tickets S4U2self e S4U2proxy, e caminhos práticos para movimentação lateral ou escalonamento de privilégios. Use quando precisar de um guia repetível para pentest, e não de uma visão geral genérica do Kerberos.

eradicating-malware-from-infected-systems é uma habilidade de resposta a incidentes de cibersegurança para remover malware, backdoors e mecanismos de persistência após o containment. Inclui orientação de fluxo de trabalho, arquivos de referência e scripts para limpeza em Windows e Linux, rotação de credenciais, correção da causa raiz e validação.

detecting-mimikatz-execution-patterns ajuda analistas a detectar a execução do Mimikatz por meio de padrões de linha de comando, sinais de acesso ao LSASS, indicadores binários e artefatos de memória. Use esta instalação da skill detecting-mimikatz-execution-patterns para Auditoria de Segurança, hunting e resposta a incidentes, com modelos, referências e orientação de workflow.

Skill de detecção de ataques Living off the Land para Auditoria de Segurança, threat hunting e resposta a incidentes. Detecta o abuso de binários legítimos do Windows, como certutil, mshta, rundll32 e regsvr32, usando telemetria de criação de processo, linha de comando e relação entre processo pai e filho. O guia foca em padrões acionáveis de detecção de LOLBins, e não em hardening amplo do Windows.

A skill detecting-fileless-malware-techniques dá suporte a fluxos de trabalho de Análise de Malware para investigar malware fileless que roda na memória por meio de PowerShell, WMI, reflection em .NET, payloads residindo no registro e LOLBins. Use-a para sair de alertas suspeitos e chegar a triagem baseada em evidências, ideias de detecção e próximos passos de hunting.

detecting-fileless-attacks-on-endpoints ajuda a criar detecções para ataques em memória em endpoints Windows, incluindo abuso de PowerShell, persistência via WMI, reflective loading e injeção de processo. Use este skill para Security Audit, threat hunting e engenharia de detecção com Sysmon, AMSI e logging do PowerShell.

Skill de configuração avançada do Windows Defender para hardening do Microsoft Defender for Endpoint. Cobre regras ASR, acesso controlado a pastas, proteção de rede, proteção contra exploração, planejamento de implantação e orientação de rollout com foco inicial em auditoria para engenheiros de segurança, administradores de TI e fluxos de trabalho de auditoria de segurança.

analyzing-windows-registry-for-artifacts ajuda analistas a extrair evidências de hives do Windows Registry para identificar atividade de usuários, software instalado, autoruns, histórico de USB e indicadores de comprometimento em fluxos de resposta a incidentes ou auditoria de segurança.

A skill analyzing-windows-amcache-artifacts faz o parsing dos dados do Windows Amcache.hve para recuperar evidências de execução de programas, software instalado, atividade de dispositivos e carregamento de drivers em fluxos de trabalho de DFIR e auditoria de segurança. Ela usa o AmcacheParser e orientações baseadas em regipy para apoiar a extração de artefatos, a correlação por SHA-1 e a revisão de linha do tempo.

A skill analyzing-powershell-empire-artifacts ajuda equipes de Auditoria de Segurança a detectar artefatos do PowerShell Empire em logs do Windows usando Script Block Logging, padrões de launcher em Base64, IOCs de stagers, assinaturas de módulos e referências de detecção para triagem e criação de regras.

Skill de análise de PowerShell Script Block Logging para analisar o Event ID 4104 do Windows PowerShell a partir de arquivos EVTX, reconstruir blocos de script fragmentados e sinalizar comandos ofuscados, payloads codificados, abuso de Invoke-Expression, download cradles e tentativas de bypass do AMSI em trabalhos de auditoria de segurança.