Blue Team

detecting-lateral-movement-with-zeek là một skill an ninh mạng dựa trên Zeek dành cho threat hunting và ứng phó sự cố. Skill này giúp phát hiện truy cập SMB admin share, tạo dịch vụ DCE/RPC, NTLM spray, bất thường Kerberos và các lần truyền nội bộ đáng ngờ, dựa trên các log Zeek như `conn.log`, `smb_mapping.log`, `smb_files.log`, `dce_rpc.log`, `ntlm.log` và `kerberos.log`.

detecting-rdp-brute-force-attacks giúp phân tích Windows Security Event Logs để phát hiện mẫu brute force RDP, bao gồm các lần lỗi 4625 lặp lại, đăng nhập 4624 thành công sau nhiều lần thất bại, logon liên quan đến NLA và mức độ tập trung theo source IP. Hãy dùng skill này cho Security Audit, threat hunting và các cuộc điều tra EVTX có thể lặp lại.

Kỹ năng detecting-t1003-credential-dumping-with-edr dành cho threat hunting với EDR, Sysmon và đối chiếu sự kiện Windows để phát hiện việc đánh cắp thông tin xác thực từ LSASS, SAM, NTDS.dit, LSA secrets và credential đã lưu trong cache. Hãy dùng kỹ năng này để xác thực cảnh báo, khoanh vùng sự cố và giảm false positive bằng quy trình thực hành rõ ràng.

detecting-container-escape-with-falco-rules giúp phát hiện các nỗ lực thoát khỏi container bằng các quy tắc bảo mật runtime Falco. Nội dung tập trung vào tín hiệu syscall, container đặc quyền, lạm dụng đường dẫn của host, khâu xác thực và quy trình ứng phó sự cố cho môi trường Kubernetes và container Linux.