detecting-dll-sideloading-attacks
作者 mukul975detecting-dll-sideloading-attacks 帮助安全审计、威胁狩猎和事件响应团队使用 Sysmon、EDR、MDE 和 Splunk 发现 DLL 侧载。这个 detecting-dll-sideloading-attacks 指南包含工作流程说明、狩猎模板、标准映射，以及把可疑 DLL 加载转化为可重复检测的脚本。
该技能评分为 78/100，说明它很适合想要专注于 DLL 侧载狩猎流程、而不是泛化网络安全提示的用户。仓库提供了足够具体的检测逻辑、工具和参考材料，便于代理以较高把握触发并执行；不过用户仍需根据自身环境调整查询和脚本。
- 场景和前置条件清晰，覆盖企业级威胁狩猎、事件响应以及基于 EDR/Sysmon 的调查。
- 操作内容具体：Sysmon Event ID 7 模式、Splunk SPL、KQL、Sigma 字段和 CLI 示例让整个流程更可执行。
- 配套文件提升可用性：可复用的狩猎模板、标准映射，以及用于解析日志和生成检测规则的脚本。
- SKILL.md 中没有安装命令，因此在可靠运行脚本之前，代理可能还需要额外的环境配置指引。
- 摘录内容有一定截断，而且该技能更偏向检测而非端到端修复，因此更适合狩猎流程，不太适合广泛的 IR 自动化。
detecting-dll-sideloading-attacks 技能概览
这个 detecting-dll-sideloading-attacks 技能是做什么的
detecting-dll-sideloading-attacks 技能帮助分析人员检测 DLL side-loading（DLL 旁加载）：即某个合法可执行文件从意外位置加载了恶意 DLL。它面向 Security Audit、威胁狩猎和事件响应团队，提供一种实用方法来识别规避防御的行为，而不必从一个空白提示词开始。
谁最能从中受益
如果你使用 Sysmon、EDR、Microsoft Defender for Endpoint 或 Splunk，并且需要快速验证可疑的 DLL 加载行为，那么 detecting-dll-sideloading-attacks skill 很适合你。它最适合你已经有日志、并且想把这些日志转化为一次狩猎、分诊或检测规则的场景。
它为什么不一样
这个 repo 不只是一个概念说明：它包含狩猎模板、标准映射、示例查询和脚本，把整个工作流锚定在真实遥测上。因此，当你需要从“看起来不太对劲”推进到可重复的检测逻辑时，detecting-dll-sideloading-attacks 指南就很有用。
如何使用 detecting-dll-sideloading-attacks 技能
先安装并打开正确的文件
先通过你的 skills manager 使用 detecting-dll-sideloading-attacks install 流程安装，然后先读 SKILL.md，接着再看 references/workflows.md、references/api-reference.md 和 references/standards.md。如果你打算运行示例工具，在改动任何内容之前，先查看 scripts/agent.py 和 scripts/process.py。
为技能提供完整的狩猎输入
当你的提示词包含日志来源、时间窗口、目标环境以及可疑点时，detecting-dll-sideloading-attacks usage 模式的效果最好。例如：“分析过去 72 小时内的 Sysmon Event ID 7，找出由已签名应用在用户可写路径中加载的未签名 DLL；返回一个排序后的 hunt，以及 Splunk/KQL 示例。”
把模糊想法变成可用提示词
不要只问“找 DLL sideloading”。相反，要明确触发条件、环境和你需要的输出：
- “构建一个针对
Signed=false且加载位置在System32和Program Files之外的 hunt” - “检查
Teams.exe或OneDriveUpdater.exe是否从临时目录加载了 DLL” - “把这些 Sysmon 事件整理成带误报过滤条件的分诊摘要”
先按工作流开始，再微调查询
先从 references/workflows.md 里的 hunt 阶段入手，然后把它们与自己的遥测平台对照。示例 SPL 和 KQL 适合作为起点，但真正好的结果来自于把进程名、路径过滤条件和哈希检查调整到你的软件清单和基线之上。
detecting-dll-sideloading-attacks 技能 FAQ
这个技能只适用于 Windows 检测吗？
是的，detecting-dll-sideloading-attacks 技能的核心是面向 Windows 的，因为 DLL sideloading 依赖 Windows 的加载行为，以及 Sysmon Event ID 7 这类常见遥测。如果你的环境是 macOS 或 Linux，这通常不是合适的起点。
我需要 EDR 才能用它吗？
EDR 会有帮助，但即使只有 Sysmon、Windows 事件日志、导出的 CSV/JSON 遥测，或者离线 EVTX 解析，这个技能仍然有用。如果你完全看不到 image-load 相关可见性，那么这个技能的作用会受限，因为 DLL sideloading 本质上是由加载事件驱动的。
它比通用提示词更好吗？
是的，因为 detecting-dll-sideloading-attacks 技能提供的是检测逻辑、标准上下文和示例查询，而不是泛泛的解释。这样一来，当你需要一个可以测试、调优并分享给 SOC 的 hunt 时，猜测成本会更低。
什么时候不该用它？
不要把它用于与 DLL 加载无关的 Windows 恶意软件分析，也不要在问题只是泛泛讨论代码签名时使用它。如果主要问题是持久化、注册表滥用或 PowerShell 行为，那么别的技能会更匹配。
如何改进 detecting-dll-sideloading-attacks 技能
提供更强的证据
当你提供具体字段时，detecting-dll-sideloading-attacks 技能会表现得更好：进程名、加载的 DLL 路径、签名状态、哈希、主机、用户和事件来源。像“3 台主机上，已签名应用从 C:\Users\Public\ 加载了未签名 DLL”这样的请求，输出会比笼统的“找 sideloading”好得多。
告诉它什么是正常，什么是异常
把你的标准应用路径和已知软件例外告诉它，这样它才能把预期行为和滥用行为区分开来。对于 Security Audit 工作来说，这意味着要明确列出已批准的应用、正常的 DLL 目录，以及那些合法会在可执行文件旁边加载 DLL 的厂商软件。
使用脚本和参考资料减少误报
如果你正在验证一条 hunt，把结果和 scripts/agent.py、scripts/process.py 里的示例逻辑，以及 references/standards.md 中的路径与技术指导进行对照。这样可以帮助你发现常见失败模式，比如对临时目录告警的范围过宽，或者漏掉了已签名但被迁移位置的二进制文件。
从 hunt 迭代到 detection
拿到第一版输出后，一次只要求一个细化动作：加一个抑制条件、缩小到某个产品家族、把逻辑转换成 Splunk 或 KQL，或者按风险对结果排序。这样的迭代方式能让 detecting-dll-sideloading-attacks 指南更可操作，通常也更容易得到一个误报更少、质量更高的最终检测结果。