detecting-mimikatz-execution-patterns

detecting-mimikatz-execution-patterns 技能概覽

這個技能能做什麼

detecting-mimikatz-execution-patterns 技能可協助分析人員透過關聯命令列模式、LSASS 存取行為、二進位檔指標與記憶體相關跡象，來辨識 Mimikatz 相關活動。它最適合威脅獵捕人員、SOC 分析師與事件應變人員，尤其是那些需要一套實用的 detecting-mimikatz-execution-patterns for Security Audit 工作流程，而不是泛泛而談的偵測說明的人。

誰應該安裝它

如果你已經有來自 Sysmon、Windows Security logs、EDR 或 SIEM 的遙測資料，並且需要把原始事件轉成獵捕邏輯，就應該安裝這個 detecting-mimikatz-execution-patterns 技能。它很適合用來驗證 ATT&CK 覆蓋範圍、縮小可疑憑證竊取的影響範圍，或建立針對 T1003.001 與相關 Mimikatz 手法的偵測。

為什麼值得使用

這個 repo 走的是決策導向路線：它提供獵捕範本、參考對照、查詢範例和簡單腳本，而不只是理論。這讓你更容易從「我們懷疑是 Mimikatz」走到可執行的調查計畫，特別是當你需要一份可重複使用、適合不同經驗層級分析師的 detecting-mimikatz-execution-patterns 指南時。

如何使用 detecting-mimikatz-execution-patterns 技能

先安裝，然後快速找到最有用的檔案

先依照標準技能安裝流程完成安裝，接著優先打開 skills/detecting-mimikatz-execution-patterns/SKILL.md。若要真正落地使用，也請一併閱讀 assets/template.md 了解獵捕結構、references/api-reference.md 取得精確的簽章與查詢，以及 references/workflows.md 掌握逐步獵捕流程。如果你想理解自動化行為，請再檢視 scripts/agent.py 與 scripts/process.py。

把模糊目標改寫成高品質提示詞

差的提示詞是「幫我偵測 Mimikatz」。更好的 detecting-mimikatz-execution-patterns 使用提示會是：「使用 detecting-mimikatz-execution-patterns 技能，建立一個以 Sysmon 為主的 LSASS dump 與 sekurlsa::logonpasswords 活動獵捕，假設可使用 Splunk，並加入管理工具與備份軟體的誤判說明。」再補上你的日誌來源、端點平台，以及目標是獵捕、告警調整還是事件範圍界定。

依正確順序使用 repo

先看獵捕範本，再看偵測參考資料，最後看流程文件。這個順序能幫你快速回答三個問題：你手上有什麼資料、哪些模式最關鍵，以及如何驗證而不過度擬合。如果你要把這個技能套用到新環境，先把提供的 SPL 或 KQL 對應到你自己的欄位名稱，再調整邏輯。

輸入品質最影響輸出的部分

這個技能在你一開始就提供工具鏈、遙測覆蓋範圍與業務限制時，效果最好。例如，明確說出是否有收集 Sysmon Event IDs 1、7、10，是否已正規化 process command lines，以及你需要的是高敏感度獵捕還是低雜訊偵測。這樣技能就能更精準地分辨可疑的 Mimikatz 執行與合法管理活動。

detecting-mimikatz-execution-patterns 技能 FAQ

這只適用於已確認的 Mimikatz 感染嗎？

不是。detecting-mimikatz-execution-patterns 技能也很適合前置性獵捕、purple-team 驗證，以及 ATT&CK 缺口分析。當你想在操作手已經完成憑證竊取之前，就先抓到執行模式時，這個技能最有價值。

我一定要用 Splunk 或 Microsoft Defender 嗎？

不需要指定單一平台，但內建參考資料中的模式可以很自然地對應到 Sysmon、Splunk SPL 與 Microsoft Defender for Endpoint。若你的環境使用其他 SIEM，只要你能查詢 process creation 與 LSASS 相關遙測，這個技能一樣有幫助。

這和一般提示詞有什麼不同？

一般提示詞通常只會給一次性的建議。這個 detecting-mimikatz-execution-patterns 技能則提供更完整的工作流程：獵捕範本、簽章參考、平台專屬查詢範例，以及調整結果的流程。當你需要的是可重複、可稽核的結果，而不只是泛泛解釋時，這一點尤其重要。

這適合初學者嗎？

適合，但前提是你已經了解 Windows logs 和憑證竊取術語的基本概念。初學者可能需要協助理解 LSASS 存取權限遮罩、命令列模式與誤判來源，不過這個技能已經提供足夠結構，讓你不用從零開始設計獵捕。

如何改善 detecting-mimikatz-execution-patterns 技能

提供它真正能用的遙測資料

品質提升最大的關鍵，在於把可用的事件來源講得非常明確。例如：「已啟用 Sysmon Event IDs 1、7、10、22；Security 4688 有轉送；可取得 EDR process tree。」這能讓 detecting-mimikatz-execution-patterns 技能聚焦在它真的能驗證的訊號上，而不是假設你有完整的端點可視性。

把預期的誤判一起告訴它

Mimikatz 類型的模式，常和合法的管理與排錯工具重疊。請告訴技能在你的環境裡哪些軟體屬於正常行為，例如 procdump、備份代理程式、EDR 回應工具或腳本化維護作業。如果沒有這些背景資訊，輸出可能會過於寬泛，不適合真正的 detecting-mimikatz-execution-patterns 安裝決策或獵捕使用。

要求你真正需要的結果，而不只是技術本身

如果你想要更好的第一次輸出，請明確指定你需要的是獵捕查詢、初步分流清單、偵測規則，還是報告摘要。例如：「建立一個 Splunk 獵捕，找出 lsass.exe 存取與 sekurlsa 字串，然後依信心程度排序並說明可能的誤判。」這會讓技能有明確目標，也能提升第一版輸出的實用性。

用真實樣本與邊界案例反覆調整

第一次跑完後，回饋一到兩個真實的命令列、程序樹或告警樣本，並詢問哪些條件會保留或抑制它們。這個技能在你針對環境的邊界案例持續收斂時最有價值，特別是在有大量合法安全工具的成熟安全堆疊中進行 detecting-mimikatz-execution-patterns usage 時。