Sysmon

Skill detecting-wmi-persistence giúp các chuyên gia săn tìm mối đe doạ và analyst DFIR phát hiện cơ chế tồn tại bền bỉ qua WMI event subscription trong telemetry Windows bằng Sysmon Event IDs 19, 20 và 21. Dùng nó để nhận diện hoạt động độc hại của EventFilter, EventConsumer và FilterToConsumerBinding, xác thực phát hiện và phân tách persistence của kẻ tấn công với tự động hoá quản trị hợp lệ.

detecting-process-injection-techniques giúp phân tích hoạt động bất thường trong bộ nhớ, xác thực cảnh báo EDR, và nhận diện process hollowing, APC injection, thread hijacking, reflective loading, cùng DLL injection cổ điển cho kiểm toán bảo mật và sàng lọc malware.

detecting-process-hollowing-technique giúp săn lùng process hollowing (T1055.012) trong telemetry Windows bằng cách tương quan các lần khởi chạy ở trạng thái treo, hành vi can thiệp bộ nhớ, bất thường quan hệ cha-con và dấu vết API. Được xây dựng cho threat hunter, detection engineer và responder cần một quy trình detecting-process-hollowing-technique thực dụng cho workflow Threat Hunting.

detecting-privilege-escalation-attempts giúp săn tìm leo thang đặc quyền trên Windows và Linux, bao gồm thao túng token, UAC bypass, đường dẫn dịch vụ không được đặt trong dấu ngoặc kép, khai thác kernel và lạm dụng sudo/doas. Phù hợp cho các đội threat hunting cần một quy trình thực chiến, truy vấn tham chiếu và script hỗ trợ.

Kỹ năng detecting-pass-the-hash-attacks để săn tìm di chuyển ngang dựa trên NTLM, các lần đăng nhập Type 3 đáng ngờ và hoạt động T1550.002 bằng Windows Security logs, Splunk và KQL.

Skill detecting-evasion-techniques-in-endpoint-logs giúp săn tìm kỹ thuật né tránh phòng thủ trong log endpoint Windows, bao gồm xóa log, timestomping, chèn tiến trình và vô hiệu hóa công cụ bảo mật. Hãy dùng nó cho threat hunting, detection engineering và triage sự cố với Sysmon, Windows Security hoặc telemetry từ EDR.

detecting-mimikatz-execution-patterns giúp nhà phân tích phát hiện việc thực thi Mimikatz bằng các mẫu dòng lệnh, tín hiệu truy cập LSASS, chỉ báo nhị phân và dấu vết bộ nhớ. Hãy dùng skill detecting-mimikatz-execution-patterns để cài đặt cho Security Audit, hunting và ứng phó sự cố, với mẫu, tài liệu tham khảo và hướng dẫn quy trình đi kèm.

detecting-living-off-the-land-with-lolbas giúp phát hiện hành vi lạm dụng LOLBAS bằng Sysmon và Windows Event Logs, dựa trên telemetry tiến trình, ngữ cảnh cha–con, các quy tắc Sigma và một hướng dẫn thực hành cho triage, hunting và soạn thảo rule. Kỹ năng này hỗ trợ detecting-living-off-the-land-with-lolbas cho Threat Modeling và quy trình làm việc của analyst với certutil, regsvr32, mshta và rundll32.

Skill detecting-living-off-the-land-attacks dành cho Security Audit, săn tìm mối đe doạ và ứng phó sự cố. Phát hiện việc lạm dụng các nhị phân Windows hợp lệ như `certutil`, `mshta`, `rundll32` và `regsvr32` bằng dữ liệu tạo tiến trình, dòng lệnh và quan hệ cha-con giữa tiến trình. Hướng dẫn tập trung vào các mẫu phát hiện LOLBin có thể áp dụng ngay, không phải một tài liệu hardening Windows tổng quát.

Kỹ năng detecting-fileless-malware-techniques hỗ trợ các quy trình Malware Analysis để điều tra mã độc fileless chạy trong bộ nhớ qua PowerShell, WMI, .NET reflection, payload nằm trong registry và LOLBins. Hãy dùng kỹ năng này để chuyển từ các cảnh báo đáng ngờ sang bước sàng lọc có bằng chứng, ý tưởng phát hiện và truy tìm tiếp theo.

detecting-fileless-attacks-on-endpoints giúp xây dựng các phát hiện cho những cuộc tấn công chỉ tồn tại trong bộ nhớ trên endpoint Windows, bao gồm lạm dụng PowerShell, duy trì bám trụ qua WMI, reflective loading và tiêm tiến trình. Phù hợp cho Security Audit, săn tìm mối đe dọa và kỹ thuật phát hiện với Sysmon, AMSI và PowerShell logging.

detecting-dll-sideloading-attacks giúp các nhóm Security Audit, threat hunting và ứng phó sự cố phát hiện DLL side-loading bằng Sysmon, EDR, MDE và Splunk. Hướng dẫn detecting-dll-sideloading-attacks này bao gồm ghi chú quy trình, mẫu hunt, ánh xạ tiêu chuẩn và các script để biến những lần nạp DLL đáng ngờ thành các phát hiện có thể lặp lại.

Skill detecting-credential-dumping-techniques giúp bạn phát hiện truy cập LSASS, xuất SAM, đánh cắp NTDS.dit và lạm dụng comsvcs.dll MiniDump bằng Sysmon Event ID 10, Windows Security logs và các quy tắc tương quan SIEM. Skill này được xây dựng cho các quy trình threat hunting, detection engineering và Security Audit.

Kỹ năng analyzing-windows-event-logs-in-splunk giúp các nhà phân tích SOC điều tra log Windows Security, System và Sysmon trong Splunk để tìm các cuộc tấn công xác thực, leo thang đặc quyền, duy trì hiện diện và di chuyển ngang. Hãy dùng kỹ năng này cho phân loại sự cố ban đầu, kỹ thuật phát hiện và phân tích dòng thời gian với các mẫu SPL đã được ánh xạ cùng hướng dẫn event ID.