Sigma 规则

extracting-windows-event-logs-artifacts 可帮助你提取、解析并分析 Windows Event Logs（EVTX），用于数字取证、事件响应和威胁狩猎。它支持对登录、进程创建、服务安装、计划任务、权限变更和日志清除等事件进行结构化审查，并可结合 Chainsaw、Hayabusa 和 EvtxECmd 使用。

detecting-evasion-techniques-in-endpoint-logs 技能可帮助你在 Windows 终端日志中狩猎防御规避行为，包括清除日志、时间戳回溯（timestomping）、进程注入以及禁用安全工具。适用于威胁狩猎、检测工程和事件初筛，可结合 Sysmon、Windows Security 或 EDR 遥测使用。

detecting-living-off-the-land-with-lolbas 结合 Sysmon 和 Windows Event Logs，帮助检测 LOLBAS 滥用；内容覆盖进程遥测、父子进程上下文、Sigma 规则，以及用于分流、狩猎和规则编写的实用指南。它支持在 Threat Modeling 和分析师工作流中使用 detecting-living-off-the-land-with-lolbas，重点关注 certutil、regsvr32、mshta 和 rundll32。