kunai

主旋律 Kunai 是一款强大的工具，旨在为 Linux 系统上的 安全监控 和 威胁狩猎 等任务提供可操作的分析洞察。你可以将其视为 Windows 系统上的 Sysmon 在 Linux 系统中的对应物，专为全面而精准的事件监控而设计。 Kunai 的独特之处 按时间顺序排列的事件： 事件严格按照发生的顺序进行处理和交付。 主机端关联： 内置事件丰富与关联能力，提供更深入的上下文。 容器感知： 完全兼容 Linux 命名空间与容器技术，支持对容器活动进行完整追踪。 工作原理 Kunai 利用...

Get-AppLockerEventlog

Get-AppLockerEventlog 描述 此脚本将解析来自 Windows 事件日志的所有通道，提取与 AppLocker 相关的所有日志。该脚本将收集事件相关的所有重要信息，用于取证、威胁狩猎甚至故障排除。以下是我们从 Windows 事件日志中获取的日志： EXE 和 DLL, MSI 和脚本, 打包的应用部署, 打包的应用执行。 输出： 结果将在屏幕上显示 并且，结果将保存到 CSV 文件：AppLocker-log.csv 使用此脚本你将获得的详细实用信息包括： FileType, EventID, Message, User, Computer, EventTime,...

ja4

JA4+™ 网络指纹识别 JA4+ 是由 FoxIO 开发的一套易于使用和分享的网络指纹识别方法。这些方法既可供人类阅读，也可供机器解析，以便更有效地进行威胁狩猎和分析。其应用场景包括：扫描威胁行为者、恶意软件检测、会话劫持防护、合规自动化、位置追踪、DDoS 检测、威胁行为者分组、反向 Shell 检测等。 关于 JA4+ 的快速说明及分析参考，请参见： JA4+ 速查表 深入了解请阅读我们的博客文章，了解 JA4+ 的工作原理、为什么有效以及可检测/预防的示例： JA4+ 网络指纹识别 JA4/S/H/L/X/SSH JA4T: TCP 指纹识别 JA4T/TS/TScan 使用...

hayabusa

Windows 事件日志快速取证时间线生成器与威胁狩猎工具。 由 Yamato Security 使用内存安全的 Rust 语言编写 —— 唯一完全支持 Sigma（包括 v2 关联规则）的开源工具。 !https://img.shi...

HELK

HELK Hunting ELK（简称 HELK）是首批具备高级分析功能的开源狩猎平台之一，它通过 Jupyter 笔记本和 Apache Spark 在 ELK 堆栈之上提供了 SQL 声明式语言、图形化、结构化流处理乃至机器学习等高级分析能力。该项目最初主要为研究而开发，但由于其灵活的设计和核心组件，在配置得当且基础设施具有可扩展性的情况下，也可以部署在更大规模的环境中。 目标 为社区提供一个开源的狩猎平台，并分享威胁狩猎的基础知识。 加快狩猎平台的部署时间。 以更简单、更经济的方式改进狩猎用例的测试与开发。 通过 Apache Spark、GraphFrames 和 Jupyter...

ACE

自动收集与丰富 自动收集与丰富（ACE）平台是一套供威胁猎手使用的工具，用于从网络中的多个端点收集数据并自动进行数据丰富。数据通过在每个计算机上运行脚本收集，无需在目标上安装任何软件。ACE 支持从 Windows、macOS 和 Linux 主机收集数据。 ACE 旨在通过提供凭据管理、调度、集中式脚本管理和远程文件下载，简化跨环境远程收集数据的流程。ACE 旨在通过收集和丰富数据来补充 SIEM；最终分析最适合使用 Splunk、ELK 等 SIEM 工具或分析人员偏好的工具。 为什么使用 ACE？ ACE 源于在常见限制条件下执行入侵评估的需求： 无法在目标主机上安装专用软件代理。...

Red-Teaming-Toolkit

Red Teaming 工具包 本仓库包含尖端的开源安全工具（OST），这些工具将在对抗模拟期间为您提供帮助，并且作为面向威胁猎手的信息，可以使检测和预防控制更加容易。以下工具列表可能被 APT 和人为操作勒索软件（HumOR）等威胁行为者滥用。如果您想为此列表做出贡献，请向我发送拉取请求。 目录 侦察 初始访问 投递 态势感知 凭据转储 权限提升 防御规避 持久化 横向移动 外传 杂项 侦察 名称| 描述| URL ---|---|--- RustScan| 现代端口扫描器。快速发现端口（最快 3 秒）。通过我们的脚本引擎运行脚本（支持 Python、Lua、Shell）。|...

ThreatSentry-AI

ThreatSentry AI：AI 驱动的威胁狩猎工具 自动进行外部资产发现，通过多源数据智能丰富，并利用集成机器学习预测和优先处理风险。将警报疲劳转化为可操作的情报。 🚀 使命宣言 ThreatSentry AI 通过智能风险优先级排序，消除安全警报疲劳，实现主动威胁狩猎。它结合了自动化资产发现、多源数据丰富和高级机器学习，将原始安全数据转化为可操作的情报。 👨‍💻 作者与致谢 项目负责人： EclipseManic 开发说明： 这个全面的企业安全平台由一位开发者在 AI 开发工具的协助下（用于代码生成、优化和文档）进行架构和开发——证明了 AI 增强的软件工程在复杂系统中的可行性。 📋...

ThreatHunting

ThreatHunting | 一个映射到MITRE ATT&CK的Splunk应用，指导威胁狩猎 这是一个Splunk应用程序，包含多个仪表板和超过130份报告，将帮助您调查初始狩猎指标。 您显然需要将Sysmon数据导入Splunk，好的配置可以在此处找到 注意： 此应用程序并非万能药，它需要调优和真正的调查工作才能在您的环境中真正有效。 尝试与您的系统管理员成为最好的朋友。他们将能够解释许多最初发现的指标。 非常感谢MITRE创建了ATT&CK框架！ 我们非常欢迎拉取请求/问题票证和新添内容！ Mitre ATT&CK 我致力于将所有搜索映射到ATT&CK框架。...

RedHunt-OS

RedHunt Linux 发行版（虚拟机）v2 由 RedHunt Labs 提供的用于对手模拟与威胁狩猎的虚拟机 RedHunt OS 旨在通过集成攻击者的武器库和防御者的工具包，主动识别环境中的威胁，成为您所有威胁模拟和威胁狩猎需求的一站式解决方案。 了解更多关于我们的攻击面管理平台，请查看 NVADR。 基础系统： Lubuntu-18.04 x64 工具安装 攻击模拟： Caldera Atomic Red Team Nmap CrackMapExec Metasploit Responder Zap ADRecon 威胁狩猎： Kolide Fleet...

kestrel-lang

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/logo/logowtext.png :width: 460 :alt: Kestrel威胁狩猎语言 |readthedocs| |pypi| |downloads| |codecoverage| |black| | 使用原生查询/脚本（左）还是Kestrel（右）进行狩猎？ 一次端到端的网络威胁狩猎通常需要在多个数据源/环境中执行，并在狩猎流程中的任意位置进行 enrichment/ML/可视化步骤。 .. image::...

drovorub-hunt

来自Drovorub的急报：针对俄罗斯GRU GTsSS恶意软件的大规模网络威胁狩猎 最近，美国国家安全局和联邦调查局发布了一份报告，概述了俄罗斯总参谋部主要情报局（GRU）第85主要特殊服务中心（GTsSS），军事单位26265为干预2016年美国总统选举而利用的命令与控制能力。虽然该报告包含了恶意软件技术的技术细节，但并未提供适用于网络威胁狩猎的网络规模工具。今天，Insane Forensics...

atomic-red-team

Atomic Red Team Atomic Red Team™ is a library of tests mapped to the MITRE ATT&CK® framework. Security teams can use Atomic Red Team to quickly, portably, and reproducibly test their environments. Get started You can execute atomic tests directly from the command line, no installation required. S...

WEFFLES

WEFFLES WEFFLES 是一种使用 Windows 事件转发和 PowerBI 构建快速、免费且有效的威胁狩猎控制台的方法。 你可以在 https://aka.ms/weffles 找到完整的博客文章，但如果你等不及，wefsetup.ps1 是你可以开始使用的文件。 谢谢， -Jessica https://twitter.com/jepaynemsft...

AzureHunter

一个用于在 Azure 和 O365 数据上运行威胁狩猎剧本的 PowerShell 模块，适用于云取证目的。 入门指南 1. 确认您拥有正确的 O365 权限 为了能够对 UnifiedAuditLog 拥有 只读 访问权限，需要在 Exchange Online 中具备以下角色：View-Only Audit Logs 或 Audit Logs。 默认情况下，这些角色已分配给 Exchange 管理中心中的 Compliance Management 角色组。 注意 ：如果您是安全分析师、事件响应人员或威胁猎人，并且您的组织没有授予您对这些审计日志的只读...

ThreatHunting

El Proyecto ThreatHunting Un repositorio informativo sobre la caza de adversarios en tu entorno de TI. Asegúrate de visitar ThreatHunting.net para más información sobre este repositorio. Licencia Aquí está el acuerdo, en lenguaje claro: Este repositorio está aquí para la comunidad. Eres libre de...

APT-Hunter

APT-Hunter APT-Hunter 是一款针对 Windows 事件日志的威胁狩猎工具，采用紫队思维设计，用于检测隐藏在大量 Windows 事件日志中的 APT 活动，从而缩短发现可疑行为的时间。APT-Hunter 使用预定义的检测规则，并专注于统计分析以发现异常，这在入侵评估中非常有效。输出结果包含时间线，可直接在 Excel、Timeline Explorer、Timesketch 等工具中进行分析。...

Threat_Hunting

ThreatHunting Algunas consultas de búsqueda de amenazas de CrowdStrike útiles para los miembros del equipo azul y los cazadores de amenazas...

sigma-rules

Reglas Sigma Reglas Sigma de la comunidad, escritas por Joe Security para la caza de amenazas en sandboxes, bajo licencia GPL. Para una descripción detallada de nuestras reglas Sigma para sandboxes, consulta esta publicación del blog...

yara

!IMPORTANT This project is in maintenance mode. More info: https://virustotal.github.io/yara-x/blog/yara-x-is-stable/ YARA in a nutshell YARA is a tool aimed at but not limited to helping malware researchers to identify and classify malware samples. With YARA you can create descriptions of malwar...