Threat Hunting

exploiting-kerberoasting-with-impacket giúp người kiểm thử được ủy quyền lập kế hoạch Kerberoasting bằng `GetUserSPNs.py` của Impacket, từ liệt kê SPN đến trích xuất ticket TGS, bẻ khóa ngoại tuyến và báo cáo có xét đến khả năng bị phát hiện. Hãy dùng hướng dẫn exploiting-kerberoasting-with-impacket này cho quy trình kiểm thử xâm nhập với ngữ cảnh cài đặt và sử dụng rõ ràng.

detecting-shadow-it-cloud-usage giúp phát hiện việc sử dụng SaaS và dịch vụ cloud trái phép từ proxy logs, DNS queries và netflow. Skill này phân loại domain, đối chiếu với danh sách được phê duyệt, và hỗ trợ quy trình kiểm tra an ninh bằng bằng chứng có cấu trúc từ hướng dẫn của detecting-shadow-it-cloud-usage skill.

detecting-service-account-abuse là một skill săn tìm mối đe doạ để phát hiện việc lạm dụng service account trên dữ liệu telemetry từ Windows, AD, SIEM và EDR. Skill này tập trung vào các đăng nhập tương tác đáng ngờ, leo thang đặc quyền, di chuyển ngang và các bất thường trong truy cập, đồng thời cung cấp mẫu săn tìm, event ID và tham chiếu quy trình để hỗ trợ điều tra lặp lại, nhất quán.

detecting-s3-data-exfiltration-attempts giúp điều tra các khả năng đánh cắp dữ liệu trên AWS S3 bằng cách đối chiếu các sự kiện dữ liệu S3 trong CloudTrail, các finding của GuardDuty, cảnh báo Amazon Macie và mẫu truy cập S3. Hãy dùng skill detecting-s3-data-exfiltration-attempts này cho kiểm toán bảo mật, ứng phó sự cố và phân tích các đợt tải xuống hàng loạt đáng ngờ.

detecting-rdp-brute-force-attacks giúp phân tích Windows Security Event Logs để phát hiện mẫu brute force RDP, bao gồm các lần lỗi 4625 lặp lại, đăng nhập 4624 thành công sau nhiều lần thất bại, logon liên quan đến NLA và mức độ tập trung theo source IP. Hãy dùng skill này cho Security Audit, threat hunting và các cuộc điều tra EVTX có thể lặp lại.

analyzing-usb-device-connection-history giúp điều tra lịch sử kết nối thiết bị USB trên Windows bằng các hive registry, event log và `setupapi.dev.log` cho forensic số, điều tra mối đe doạ nội gián và ứng phó sự cố. Skill này hỗ trợ dựng lại timeline, đối chiếu thiết bị và phân tích bằng chứng từ thiết bị lưu trữ rời.

analyzing-browser-forensics-with-hindsight giúp các nhóm Digital Forensics phân tích các artifact của trình duyệt Chromium bằng Hindsight, bao gồm history, downloads, cookies, autofill, bookmarks, metadata thông tin đăng nhập đã lưu, cache và extensions. Dùng nó để tái dựng hoạt động web, xem lại timeline và điều tra các profile của Chrome, Edge, Brave và Opera.

analyzing-bootkit-and-rootkit-samples là một kỹ năng phân tích malware dành cho các cuộc điều tra MBR, VBR, UEFI và rootkit. Hãy dùng nó để kiểm tra boot sector, các mô-đun firmware và các dấu hiệu chống anti-rootkit khi sự xâm nhập vẫn tồn tại bên dưới lớp hệ điều hành. Kỹ năng này phù hợp với nhà phân tích cần một hướng dẫn thực dụng, quy trình rõ ràng và cách phân loại ưu tiên dựa trên bằng chứng cho Malware Analysis.

Kỹ năng detecting-network-anomalies-with-zeek giúp triển khai Zeek để giám sát mạng ở chế độ thụ động, xem lại các log có cấu trúc và xây dựng các phát hiện tùy chỉnh cho beaconing, DNS tunneling và hoạt động giao thức bất thường. Kỹ năng này phù hợp cho threat hunting, ứng phó sự cố, metadata mạng sẵn sàng cho SIEM và quy trình Security Audit — không phải để ngăn chặn inline.

detecting-modbus-protocol-anomalies giúp phát hiện hành vi đáng ngờ của Modbus/TCP và Modbus RTU trong mạng OT và ICS, bao gồm function code không hợp lệ, truy cập register ngoài phạm vi, thời gian polling bất thường, ghi trái phép và frame bị lỗi định dạng. Hữu ích cho Security Audit và triage dựa trên bằng chứng.

hunting-advanced-persistent-threats là một kỹ năng săn tìm mối đe dọa để phát hiện hoạt động kiểu APT trên telemetry từ endpoint, mạng và bộ nhớ. Kỹ năng này giúp nhà phân tích xây dựng các lượt săn dựa trên giả thuyết, ánh xạ phát hiện với MITRE ATT&CK, và biến threat intel thành các truy vấn cùng bước điều tra thực tế thay vì chỉ tìm kiếm rời rạc, tùy hứng.

extracting-windows-event-logs-artifacts giúp bạn trích xuất, phân tích cú pháp và phân tích Windows Event Logs (EVTX) cho điều tra số, ứng phó sự cố và săn tìm mối đe dọa. Skill này hỗ trợ rà soát có cấu trúc các sự kiện đăng nhập, tạo tiến trình, cài dịch vụ, tác vụ theo lịch, thay đổi đặc quyền và xóa log bằng Chainsaw, Hayabusa và EvtxECmd.

Hướng dẫn extracting-memory-artifacts-with-rekall để phân tích ảnh bộ nhớ Windows bằng Rekall. Tìm hiểu cách cài đặt và các mẫu sử dụng để phát hiện tiến trình ẩn, mã bị chèn, VAD đáng ngờ, DLL đã nạp và hoạt động mạng phục vụ Digital Forensics.

Hướng dẫn skill extracting-iocs-from-malware-samples cho phân tích malware: trích xuất hash, IP, domain, URL, artifact trên host và tín hiệu xác thực từ mẫu để phục vụ threat intel và phát hiện.

Kỹ năng exploiting-nopac-cve-2021-42278-42287 là một hướng dẫn thực hành để đánh giá chuỗi noPac (CVE-2021-42278 và CVE-2021-42287) trong Active Directory. Kỹ năng này giúp người làm red team được ủy quyền và người dùng Security Audit kiểm tra điều kiện tiên quyết, rà soát các tệp quy trình và ghi nhận khả năng khai thác với ít phỏng đoán hơn.

Skill detecting-wmi-persistence giúp các chuyên gia săn tìm mối đe doạ và analyst DFIR phát hiện cơ chế tồn tại bền bỉ qua WMI event subscription trong telemetry Windows bằng Sysmon Event IDs 19, 20 và 21. Dùng nó để nhận diện hoạt động độc hại của EventFilter, EventConsumer và FilterToConsumerBinding, xác thực phát hiện và phân tách persistence của kẻ tấn công với tự động hoá quản trị hợp lệ.

Skill detecting-stuxnet-style-attacks giúp đội phòng thủ phát hiện các mẫu xâm nhập OT và ICS kiểu Stuxnet, bao gồm sửa đổi logic PLC, giả mạo dữ liệu cảm biến, chiếm quyền máy trạm kỹ sư và di chuyển ngang từ IT sang OT. Hãy dùng skill này cho săn lùng mối đe dọa, phân loại sự cố và giám sát tính toàn vẹn quy trình bằng bằng chứng từ giao thức, máy chủ và tiến trình.

Phân tích log WAF và audit để phát hiện các chiến dịch SQL injection bằng detecting-sql-injection-via-waf-logs. Được xây dựng cho quy trình Security Audit và SOC, skill này đọc các sự kiện từ ModSecurity, AWS WAF và Cloudflare, phân loại các mẫu UNION SELECT, OR 1=1, SLEEP() và BENCHMARK(), tương quan nguồn tấn công và tạo ra các phát hiện theo hướng xử lý sự cố.

detecting-ransomware-encryption-behavior giúp người phòng thủ phát hiện kiểu mã hóa của ransomware bằng phân tích entropy, giám sát I/O tệp và các heuristic hành vi. Skill này phù hợp cho ứng cứu sự cố, tinh chỉnh SOC và kiểm chứng red-team khi bạn cần nhanh chóng phát hiện thay đổi hàng loạt trên tệp, các đợt đổi tên dồn dập và hoạt động đáng ngờ của tiến trình.

detecting-process-injection-techniques giúp phân tích hoạt động bất thường trong bộ nhớ, xác thực cảnh báo EDR, và nhận diện process hollowing, APC injection, thread hijacking, reflective loading, cùng DLL injection cổ điển cho kiểm toán bảo mật và sàng lọc malware.

detecting-process-hollowing-technique giúp săn lùng process hollowing (T1055.012) trong telemetry Windows bằng cách tương quan các lần khởi chạy ở trạng thái treo, hành vi can thiệp bộ nhớ, bất thường quan hệ cha-con và dấu vết API. Được xây dựng cho threat hunter, detection engineer và responder cần một quy trình detecting-process-hollowing-technique thực dụng cho workflow Threat Hunting.

detecting-privilege-escalation-attempts giúp săn tìm leo thang đặc quyền trên Windows và Linux, bao gồm thao túng token, UAC bypass, đường dẫn dịch vụ không được đặt trong dấu ngoặc kép, khai thác kernel và lạm dụng sudo/doas. Phù hợp cho các đội threat hunting cần một quy trình thực chiến, truy vấn tham chiếu và script hỗ trợ.

detecting-port-scanning-with-fail2ban giúp cấu hình Fail2ban để phát hiện quét cổng, các попыт thử brute force SSH và hoạt động do thám, sau đó chặn các IP đáng ngờ và cảnh báo cho đội ngũ an ninh. Skill này phù hợp với các workflow tăng cường bảo mật và phát hiện quét cổng trong quy trình Security Audit, với hướng dẫn thực tiễn về log, jail, filter và tinh chỉnh an toàn.

detecting-pass-the-ticket-attacks giúp phát hiện hoạt động Kerberos Pass-the-Ticket bằng cách tương quan các Windows Security Event ID 4768, 4769 và 4771. Hãy dùng nó để threat hunting trong Splunk hoặc Elastic nhằm phát hiện việc tái sử dụng ticket, hạ cấp RC4 và lưu lượng TGS bất thường, kèm truy vấn thực tế và hướng dẫn về field.