SysmonConfigPusher2

SysmonConfigPusher v2 Windowsエンドポイント全体でSysmon構成を管理するためのWebベースのツール — エージェントレス（WMI/SMB）とエージェントベースの両方の展開をサポートします。 機能 機能| 説明 ---|--- エージェントレス展開| WMIとSMBを介してSysmonバイナリと構成をプッシュ エージェントサポート| クラウドVMやDMZサーバー向けの軽量エージェント Dockerサポート| Linux/Docker上でエージェントのみの展開を実行 Webインターフェース| リアルタイム展開進捗を備えた最新のReact UI...

EDR-Telemetry

EDR Telemetry 📖 Acerca de Una comparativa exhaustiva de las funciones de telemetría de productos EDR y agentes de endpoint como Sysmon. Este proyecto permite a los profesionales de la seguridad evaluar las capacidades de telemetría y, a la vez, promueve la transparencia de los proveedores. 🌐 Visi...

CVE-2023-29343

CVE-2023-29343 これは Sysmon バージョン 14.14 の任意ファイル書き込みバグに対する PoC です。 最後のパッチ以降、Sysmon は Archive ディレクトリが存在するかどうかを確認し、存在する場合は、そのアーカイブディレクトリが NT AUTHORITY\SYSTEM によって所有され、アクセスが NT AUTHORITY\SYSTEM にのみ許可されているかどうかを確認します。 両方の条件が満たされた場合、Sysmon はそのディレクトリ内のファイルを書き込み/削除します。...

MalwLess

MalwLess シミュレーションツール MST MalwLess は、プロセスや PoC を実行せずにシステム侵害や攻撃行動をシミュレートできるオープンソースツールです。このツールは、Blue Team の検出や SIEM の相関ルールをテストするために設計されています。誰でも記述できるルールベースのフレームワークを提供しており、新しいテクニックや攻撃が登場したときに独自のルールを作成し、コミュニティと共有できます。 これらのルールは、Sysmon または PowerShell イベントをシミュレートできます。MalwLess はルールを解析し、Windows...

SysmonCommunityGuide

TrustedSec Sysmon 社区指南 本作品采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可，请注明出处为 TrustedSec LLC 您可以自由地： 共享 — 以任何媒介或格式复制和重新分发本材料。 改编 — 对本材料进行再混合、转换和二次创作。 作者鼓励您尽可能广泛地重新分发本内容，但要求您注明下方的主要作者，并在 GitHub 上告知我们您所做的任何改进。 目录 什么是 Sysmon Windows 上的 Sysmon Sysmon 驱动程序 安装与配置 Linux 上的 Sysmon sysinternalsEBPF 安装与配置 配置 检测工程基础 Sysm...

sysmon-config

sysmon-config | みんながフォークできるSysmon設定ファイル これは、デフォルトの高品質なイベントトレースを備えたMicrosoft Sysinternals Sysmon設定ファイルのテンプレートです。 このファイルは、自己完結型でアクセスしやすいパッケージとして、システム変更監視の優れた出発点となるはずです。この設定とその結果は、Sysmonで何が可能かを理解するのに役立ちます。なお、これは認証やインシデント調査にも重要なその他のWindowsイベントは追跡しません。 sysmonconfig-export.xml...

ad-honeypot-autodeploy

ad-honeypot-autodeploy Deploy a small, intentionally insecure, vulnerable Windows Domain for RDP Honeypot fully automatically. Runs on self-hosted virtualization using libvirt with QEMU/KVM but it can be customized easily for cloud-based solutions. Used for painlessly set up a small Windows Domai...

SysmonEoP

SysmonEoP Sysmon 中任意文件删除/写入的概念验证（CVE-2022-41120/CVE-2022-44704） 漏洞 漏洞位于负责 ClipboardChange 事件的代码中，该事件可通过 RPC 触达。 本地用户可以向 RPC 服务器发送数据，这些数据随后会被写入 C:\Sysmon 目录（默认的 ArchiveDirectory），并在之后被删除。 在 14.11 之前的版本中，Sysmon 不会检查该目录是否由低权限用户创建，或者是否是一个 junction（联接点），这可能在 NT AUTHORITY\SYSTEM...

sysmon-config

sysmon-config | Sysmon 配置文件 这是 @SwiftOnSecurity 的 sysmon config 的一个分支修改版本。 它最初只是原始仓库的一份简单副本。我们合并了 30 多个开放拉取请求中的大部分。因此，我们修复了原版中仍然存在的许多问题，并通过重要的新扩展扩大了覆盖范围。 此分支的维护者 Florian Roth @Neo23x0 Tobias Michalski @humpalum Christian Burkard @phantinuss Nasreddine Bencherchali @nasbench 额外覆盖范围包括 Cobalt Strike...

Grafiki

Grafiki Grafikiは、Sysmonとグラフを扱うDjangoプロジェクトです（現時点では）。 私の意見では、EventViewer、Elastic、さらにはKibanaでも、十分にグラフィカルではありません。現在の脅威は複雑であり、攻撃者がグラフで考えるなら、防御側もそうしなければなりません。 これは概念実証であり、コードはまだデバッグされていませんが、誰かに役立つかもしれません。今後改善していきます。 このプロジェクトはEVTXパーサーをSQLデータベースに変換するものとして始まりましたが、これがプロジェクトの中核かもしれません。 目標...

attack_monitor

Attack Monitor Attack Monitor は、Windows 7/2008 およびそれ以降のバージョン のワークステーション/サーバーのセキュリティ監視機能を強化し、マルウェアの動的解析を自動化するために作成された Python アプリケーションです。 現在のモード 排他的: エンドポイント検出 ED マルウェア解析 専用仮想マシン上 以下のイベントソースに基づく: Windows イベントログ Sysmon Watchdog ファイルシステム監視 Python ライブラリ TShark マルウェア解析モードのみ 現在のバージョン 0.9.0 Alpha 連絡先...

attack_monitor

Attack Monitor Attack Monitor is Python application written to enhance security monitoring capabilites of Windows 7/2008 and all later versions workstations/servers and to automate dynamic analysis of malware. Current modes mutually exclusive: Endpoint detection ED Malware analysis on dedicated...

evtx-baseline

evtx-baseline 一个托管示例良性软件（goodware）evtx 日志的仓库，其中包含示例软件安装和基本用户交互 捐赠 win10-client.tgz 由 @phantinuss 捐赠 win11-client.tgz 由 @frack113 捐赠 win7-x86.tgz 由 @pH-T 捐赠 win2022-evtx.tgz 由 @Neo23x0 捐赠 win2022-ad.tgz 由 @frack113 捐赠 win2022-0-20348-azure.tgz 由 @Neo23x0 捐赠 win11-client-2023.tgz 由 @nasbench 捐赠...

Adaz

Adaz: Azure 上の Active Directory ハンティングラボ このプロジェクトを使用すると、Terraform/Ansible を使って、ドメイン参加済みワークステーション、Windows Event Forwarding、Kibana、Sysmon を備えた Active Directory ラボを Azure 上に簡単に構築 できます。 ドメインのユーザー、グループ、ワークステーションをカスタマイズできる高レベルの設定ファイルを提供します。 root@kitploit: dnsname: hunter.lab dcname: DC-1...

Detection-Rules

APT29 检测工程 基于对 MITRE ATT&CK 评估 APT29 数据集中 196,071 个 Sysmon 事件的分析，开发了生产就绪的 Sigma 检测规则。 概述 本仓库包含针对 APT29 模拟过程中观察到的对手行为经过验证的检测规则。每条规则均针对实际攻击数据进行了测试，转换为 Splunk SPL 并验证了误报率。 分析发布在： Detection Desk 检测覆盖范围 MITRE 技术| 规则名称| 严重性| 状态 ---|---|---|--- T1003.001| LSASS 进程访问权限完全| 高| 已验证 T1059.001, T1027| 可疑的...

brawl-public-game-001

BRAWL サイバーセキュリティ研究者が検出・対応能力を開発する際の課題の一つは、仮説や能力をテストするための現実的な環境を見つけることです。...

Ghost-In-The-Logs

Ghost In The Logs このツールを使用すると、sysmon および Windows イベントログを回避できます。私のブログ記事はこちらにあります。 使用方法 最新のリリースはこちらから入手できます。 はじめに 最新バージョンを入手したら、引数なしで実行して利用可能なコマンドを確認してください。 root@kitploit: $ gitl.exe フックのロード root@kitploit: $ gitl.exe load フックの有効化（すべてのログを無効化） root@kitploit: $ gitl.exe enable フックの無効化（すべてのログを有効化）...

ThreatHunting

ThreatHunting | MITRE ATT&CK にマッピングされた Splunk アプリで脅威ハンティングをガイド これは、複数のダッシュボードと130以上のレポートを含むSplunkアプリケーションで、初期ハンティングの指標を調査するのに役立ちます。 当然、SysmonデータをSplunkに取り込む必要があります。適切な構成はこちらにあります。 注記: このアプリケーションは万能薬ではありません。実際に効果を発揮するには、調整と真の調査作業が必要です。 システム管理者と親友になりましょう。彼らは最初に発見された指標の多くを説明できるでしょう。...

whids

IMPORTANT: this README and other documentation is not updated to reflect the changes made to latest beta releases as a lot of changes happened. All this will be updated in time when a stable version will be released see Roadmap until next release. Feel free to run beta releases on your own and as...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI - Windowsイベントログを介した脅威ハンティングのためのPowerShellモジュール Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net Twitter: @ericconrad http://ericconrad.com サンプルのEVTXファイルは.\evtxディレクトリにあります 注:...