Windows Security

detecting-service-account-abuse là một skill săn tìm mối đe doạ để phát hiện việc lạm dụng service account trên dữ liệu telemetry từ Windows, AD, SIEM và EDR. Skill này tập trung vào các đăng nhập tương tác đáng ngờ, leo thang đặc quyền, di chuyển ngang và các bất thường trong truy cập, đồng thời cung cấp mẫu săn tìm, event ID và tham chiếu quy trình để hỗ trợ điều tra lặp lại, nhất quán.

detecting-rdp-brute-force-attacks giúp phân tích Windows Security Event Logs để phát hiện mẫu brute force RDP, bao gồm các lần lỗi 4625 lặp lại, đăng nhập 4624 thành công sau nhiều lần thất bại, logon liên quan đến NLA và mức độ tập trung theo source IP. Hãy dùng skill này cho Security Audit, threat hunting và các cuộc điều tra EVTX có thể lặp lại.

detecting-rootkit-activity là một skill Phân tích Phần mềm độc hại giúp tìm các dấu hiệu rootkit như tiến trình ẩn, system call bị hook, cấu trúc kernel bị sửa đổi, module ẩn và các dấu vết mạng bí mật. Skill này dùng đối chiếu đa nguồn và kiểm tra tính toàn vẹn để hỗ trợ xác thực các máy chủ đáng ngờ khi các công cụ tiêu chuẩn cho kết quả không nhất quán.

eradicating-malware-from-infected-systems là một kỹ năng ứng phó sự cố an ninh mạng để loại bỏ malware, backdoor và các cơ chế bám trụ sau khi đã cô lập. Kỹ năng này bao gồm hướng dẫn quy trình, các tệp tham chiếu và script cho việc dọn dẹp trên Windows và Linux, xoay vòng thông tin đăng nhập, khắc phục nguyên nhân gốc và xác minh kết quả.

detecting-privilege-escalation-attempts giúp săn tìm leo thang đặc quyền trên Windows và Linux, bao gồm thao túng token, UAC bypass, đường dẫn dịch vụ không được đặt trong dấu ngoặc kép, khai thác kernel và lạm dụng sudo/doas. Phù hợp cho các đội threat hunting cần một quy trình thực chiến, truy vấn tham chiếu và script hỗ trợ.

detecting-pass-the-ticket-attacks giúp phát hiện hoạt động Kerberos Pass-the-Ticket bằng cách tương quan các Windows Security Event ID 4768, 4769 và 4771. Hãy dùng nó để threat hunting trong Splunk hoặc Elastic nhằm phát hiện việc tái sử dụng ticket, hạ cấp RC4 và lưu lượng TGS bất thường, kèm truy vấn thực tế và hướng dẫn về field.

Kỹ năng detecting-pass-the-hash-attacks để săn tìm di chuyển ngang dựa trên NTLM, các lần đăng nhập Type 3 đáng ngờ và hoạt động T1550.002 bằng Windows Security logs, Splunk và KQL.

Skill detecting-evasion-techniques-in-endpoint-logs giúp săn tìm kỹ thuật né tránh phòng thủ trong log endpoint Windows, bao gồm xóa log, timestomping, chèn tiến trình và vô hiệu hóa công cụ bảo mật. Hãy dùng nó cho threat hunting, detection engineering và triage sự cố với Sysmon, Windows Security hoặc telemetry từ EDR.

detecting-living-off-the-land-with-lolbas giúp phát hiện hành vi lạm dụng LOLBAS bằng Sysmon và Windows Event Logs, dựa trên telemetry tiến trình, ngữ cảnh cha–con, các quy tắc Sigma và một hướng dẫn thực hành cho triage, hunting và soạn thảo rule. Kỹ năng này hỗ trợ detecting-living-off-the-land-with-lolbas cho Threat Modeling và quy trình làm việc của analyst với certutil, regsvr32, mshta và rundll32.

detecting-golden-ticket-forgery phát hiện giả mạo Kerberos Golden Ticket bằng cách phân tích Windows Event ID 4769, việc hạ cấp sang RC4 (0x17), thời lượng ticket bất thường và các bất thường ở krbtgt trong Splunk và Elastic. Được xây dựng cho Security Audit, điều tra sự cố và threat hunting với hướng dẫn phát hiện thực tế.

detecting-dll-sideloading-attacks giúp các nhóm Security Audit, threat hunting và ứng phó sự cố phát hiện DLL side-loading bằng Sysmon, EDR, MDE và Splunk. Hướng dẫn detecting-dll-sideloading-attacks này bao gồm ghi chú quy trình, mẫu hunt, ánh xạ tiêu chuẩn và các script để biến những lần nạp DLL đáng ngờ thành các phát hiện có thể lặp lại.

Skill detecting-credential-dumping-techniques giúp bạn phát hiện truy cập LSASS, xuất SAM, đánh cắp NTDS.dit và lạm dụng comsvcs.dll MiniDump bằng Sysmon Event ID 10, Windows Security logs và các quy tắc tương quan SIEM. Skill này được xây dựng cho các quy trình threat hunting, detection engineering và Security Audit.

deploying-active-directory-honeytokens giúp đội phòng thủ lên kế hoạch và tạo honeytoken cho Active Directory phục vụ công việc Security Audit, bao gồm tài khoản đặc quyền giả, SPN giả để phát hiện Kerberoasting, bẫy GPO mồi nhử và các đường đi BloodHound đánh lạc hướng. Nội dung kết hợp hướng dẫn thiên về cài đặt với script và tín hiệu telemetry để triển khai và rà soát thực tế.

Kỹ năng cấu hình cài đặt nâng cao Windows Defender dành cho việc hardening Microsoft Defender for Endpoint. Bao gồm ASR rules, controlled folder access, network protection, exploit protection, lập kế hoạch triển khai, và hướng dẫn rollout ưu tiên audit cho kỹ sư bảo mật, quản trị viên IT và quy trình Security Audit.