Threat Detection

A skill detecting-s3-data-exfiltration-attempts ajuda a investigar possíveis roubos de dados no AWS S3 correlacionando eventos de dados do S3 no CloudTrail, findings do GuardDuty, alertas do Amazon Macie e padrões de acesso ao S3. Use esta skill detecting-s3-data-exfiltration-attempts para auditoria de segurança, resposta a incidentes e análise de downloads em massa suspeitos.

O detecting-rdp-brute-force-attacks ajuda a analisar Windows Security Event Logs em busca de padrões de brute force em RDP, incluindo falhas repetidas do Event 4625, sucesso do 4624 após falhas, logons relacionados a NLA e concentração por IP de origem. Use-o para Security Audit, threat hunting e investigações repetíveis com EVTX.

detecting-modbus-command-injection-attacks ajuda analistas de segurança a identificar atividade suspeita de gravação em Modbus TCP/RTU, function codes anômalos, frames malformados e desvios de baseline em ambientes ICS e SCADA. Use-o para triagem de incidentes, monitoramento OT e auditoria de segurança quando você precisar de orientação de detecção com noção de Modbus, e não de um prompt genérico para anomalias.

detecting-living-off-the-land-with-lolbas ajuda a detectar abuso de LOLBAS com Sysmon e logs de eventos do Windows, usando telemetria de processos, contexto de relação pai-filho, regras Sigma e um guia prático para triagem, hunting e elaboração de regras. Ele oferece suporte ao detecting-living-off-the-land-with-lolbas para Threat Modeling e fluxos de trabalho de analistas com certutil, regsvr32, mshta e rundll32.

Skill de detecção de ataques Living off the Land para Auditoria de Segurança, threat hunting e resposta a incidentes. Detecta o abuso de binários legítimos do Windows, como certutil, mshta, rundll32 e regsvr32, usando telemetria de criação de processo, linha de comando e relação entre processo pai e filho. O guia foca em padrões acionáveis de detecção de LOLBins, e não em hardening amplo do Windows.

detecting-lateral-movement-in-network ajuda a detectar movimentação lateral pós-comprometimento em redes corporativas usando logs de eventos do Windows, telemetria do Zeek, SMB, RDP e correlação com SIEM. É útil para threat hunting, resposta a incidentes e revisões de Security Audit com fluxos práticos de detecção.

detecting-insider-threat-with-ueba ajuda você a criar detecções de UEBA no Elasticsearch ou OpenSearch para casos de ameaça interna, incluindo linhas de base comportamentais, pontuação de anomalias, análise de grupos de pares e alertas correlacionados para exfiltração de dados, abuso de privilégios e acesso não autorizado. Ele se encaixa em fluxos de trabalho de Resposta a Incidentes com detecting-insider-threat-with-ueba.