Analysis

检测工程笔记与分析 此仓库记录了基于实验室测试、日志分析和真实SOC工作流的实操检测研究。 重点在于攻击技术在实际日志中的呈现方式、哪些检测逻辑在实践中有效、哪些会失效，以及误报在何处产生。所有内容均从防御视角编写，面向分析师和检测工程师。 这不是攻击性工具或漏洞利用开发。 此仓库包含的内容 DLL劫持与侧载 针对Windows系统上DLL劫持与侧载活动的分析与检测笔记。 涵盖的主题： 合法可执行文件如何加载恶意DLL 侧载过程中常被滥用的常见执行路径 进程执行、文件创建与镜像加载事件之间的关联 基于行为的检测逻辑，而非文件名匹配 真实测试中观察到的误报 已识别的常见误报：...

Adversarial-Detection-Engineering-Framework

对抗性检测工程（ADE）框架 在威胁行为者滥用检测逻辑之前 ，通过理解检测逻辑的失败方式来领先于假阴性 。 查看网站：https://adeframework.org/ 什么是 ADE？ 对抗性检测工程（ADE）是一门对检测规则中的假阴性 进行推理的学科。ADE 框架提供了一种现代化的开源形式化方法，用于定义检测逻辑缺陷 ——即检测规则 意图 检测的内容与实际 检测 内容之间的不匹配。 ADE 的优势 检测工程师无需等待真实世界的假阴性出现，而是可以主动发问： “哪些变体会导致该规则的检测逻辑遗漏其本来要捕获的内容？” 这种对抗性的推理思路镜像了威胁行为者如何利用检测逻辑中的薄弱环节。...

Cisa-KEV-Threat-Intel-Orchestrator

CISA KEV 威胁情报编排器 零接触管道，每周自动将CISA已知被利用漏洞（KEV）目录中新增的武器化CVE转化为可用于生产的Sigma检测规则。 问题 手动将新的KEV条目转化为可用的检测是缓慢的：查看公告、研究攻击模式、编写Sigma规则、测试、向团队简报。每个CVE大约需要4-6小时。一周十个新条目就是一整周的工作量，而大多数SOC并没有每周一闲置一个分析师周的时间。 功能 每周一上午8:00，管道执行以下操作： 1. 拉取实时CISA KEV目录 并隔离自上次运行以来新增的武器化CVE。 2. 使用Google Gemini为每个CVE生成Sigma检测规则...

awesome-soc

Awesome SOC An operational handbook and knowledge base to build, run and mature a SOC including CSIRT. Covering: SOC basics detection engineering threat intelligence SOC metrics/KPI SOC automation AI use cases and best practices SOP SOC playbooks Those are my view, based on my own experience as...

azure-sentinel-detection-engineering

Ingeniería de detección en Azure Sentinel Ingeniería de detección en un entorno Microsoft Sentinel y Defender XDR en producción que opero. Nueve reglas de análisis personalizadas se reparten entre tres planos, cada una mapeada a MITRE ATT&CK y probada de extremo a extremo: una acción controlada...

Detection-Rules

Ingeniería de Detección APT29 Reglas de detección Sigma listas para producción desarrolladas a partir del análisis de 196,071 eventos Sysmon en el conjunto de datos MITRE ATT&CK Evaluations APT29. Resumen Este repositorio contiene reglas de detección validadas para comportamientos de adversarios...

ThreatHunting-JupyterNotebooks

🟣 每周紫色团队 - 威胁狩猎笔记本 这是一套与 Weekly Purple Team YouTube 频道配套的威胁狩猎与检测工程 Jupyter 笔记本集合。每本笔记本都提供检测逻辑，帮助安全专业人员理解攻击技术与防御策略。 🎯 关于本仓库 这些笔记本弥合了红队战术与蓝队防御之间的差距。通过理解攻击的工作原理，我们构建更好的检测。每本笔记本旨在： 展示如何检测 真实世界的攻击技术 分析 遥测和日志数据 开发 检测逻辑与狩猎查询 📺 YouTube 频道 订阅 Weekly Purple Team 观看这些笔记本的视频讲解及更多网络安全内容，涵盖： 🔴 红队 - 攻击技术与工具 🔵 蓝...

SysmonCommunityGuide

Guía comunitaria de Sysmon de TrustedSec Esta obra está bajo una Licencia Creative Commons Atribución-CompartirIgual 4.0 Internacional, por favor, atribuye a TrustedSec LLC Eres libre de: Compartir — copiar y redistribuir el material en cualquier medio o formato. Adaptar — remezclar, transformar ...

deadair

deadair 检查已启用的 SIEM 检测是否仍具备所需的遥测数据。 它会报告缺失或过期的数据、摄取延迟以及模式不匹配。 本地运行 · 只读 · 无代理 · 不上传遥测数据 阅读技术文章 · 入选 Detection Engineering Weekly · 入选 tl;dr sec 341 一次性 Elastic 实验环境中的缺失字段和延迟事件。打开图片可查看带播放控件的简短录屏，或使用 make record-scan-lab 复现。 为什么选择 deadair 一条规则可能在所需数据消失后仍处于启用、已调度且无错误的状态。deadair...

purple-team-exercise-framework

Purple Team Exercise Framework PTEF El Purple Team Exercise Framework PTEF es la metodología estándar de la industria para diseñar y ejecutar ejercicios de seguridad colaborativos que reúnen a la Inteligencia de Amenazas Cibernéticas CTI, los Red Teams y los Blue Teams. Los Purple Team Exercises...

MSMQ-Vulnerability

MSMQ 安全实验室 该仓库记录了关于 Microsoft 消息队列安全暴露的受控实验室审查，重点关注防御性验证、检测证据和修复规划。 该项目定位为作品集工件：展示如何将漏洞研究转化为证据收集、检测工程、缓解规划和验证。 项目目的 本项目的目的是记录一个作品集安全实验室，将漏洞研究与实际防御工作联系起来。 范围 本仓库关注： 实验室环境说明 MSMQ 服务暴露审查 网络抓包证据 Windows 事件查看器观察结果 Snort 和 Suricata 检测示例 缓解与补丁验证清单 截图和日志的证据索引 仓库结构 root@kitploit: MSMQ-Vulnerability/ ├──...

SOC-Analyst-Portfolio

🛡️ Allen Ace SOC Analyst | Threat Hunter | Detection Engineer Detect • Investigate • Respond • Defend Welcome This portfolio documents my hands-on cybersecurity journey through practical investigations, enterprise lab environments, detection engineering, digital forensics, malware analysis, threat...

My-Sigma-Rule-Collection

我根据有趣的研究创建的一套 Sigma 规则集合 概述 此仓库包含一系列我根据发现的有趣漏洞、威胁报告和技术所创建/整理的定制 Sigma 规则。每条规则都附有参考来源、检测逻辑以及其重要性的背景说明。随着我持续研究新威胁并提升检测工程技能，我将不断扩充此集合。...

2022

100 Days of YARA Parte 2 - Electric Detectaloo Disculpas de antemano por el terrible nombre, ¡pero bienvenido a 100 Days of YARA! Este repositorio actuará como almacén de todas las ideas de YARA creadas durante este tiempo. Cualquier script, herramienta o regla divertida que escribas puede enviar...

awesome-linux-attack-forensics-purplelabs

awesome-linux-attack-forensics-purplelabs Esta página es el resultado de la investigación práctica continua sobre ataques avanzados a Linux, técnicas y herramientas de detección y forensia. Debido a que he practicado el enfoque red vs azul durante años, el material que aparece a continuación te...

Mobile-Drop-Device-SOC-Detection

🛡️ 幻影项目：移动"投递设备"SOC检测模拟 该项目展示了一个端到端的SOC实验室工作坊，模拟一台未经授权的、无root权限的安卓设备（Casper Via S）作为内部网络中的"投递设备"，在发动关键第7层攻击（Web扫描、远程代码执行）时如何通过Wazuh SIEM被检测到。 该仓库展示了移动渗透测试（红队）、SIEM日志集成（蓝队）以及自定义规则创建（检测工程）的融合，以缓解"影子设备"威胁。 🎯 项目目标（执行摘要） 1. 攻击向量： 将一台标准的、无root权限的移动设备转换为功能性渗透测试工作站（投递设备），通过PRoot Debian实现，无需硬件修改（root）。 2...

wazuh-home-soc

家庭SOC：基于Wazuh + Suricata的威胁检测实验室 一个自托管的网络安全运营中心（SOC）实验室，旨在针对刻意配置的脆弱目标检测真实攻击技术，使用Wazuh作为SIEM，Suricata作为基于网络的IDS传感器。其构建目的是展示检测工程能力——而不仅仅是工具部署。 概述 现代SOC工作不仅仅是“安装SIEM然后盯着仪表板”。而是要理解检测缺口 为何 存在，并知道如何弥补。本实验室模拟一个小型且真实的环境：一个攻击者主机、一个没有原生日志支持的遗留/脆弱目标，以及一个必须绕过该限制、使用网络层可见性而非主机代理的SIEM栈。 关键架构决策： 目标（Metasploitabl...

Multi-Stage-Exploitation-and-Detection-Engineering-Analysis-of-CVE-2023-34362-in-MOVEit-Transfer

CVE-2023-34362 MOVEit Transfer 漏洞分析 项目概述 此仓库包含对 CVE-2023-34362 的学术技术分析，这是一个影响 MOVEit Transfer 的严重 SQL 注入漏洞。 该项目是为 CYB625 – 道德黑客与渗透测试 准备的。 重要说明 此仓库不 包含利用代码。 此处包含的代码是防御性和教育性的。它演示了如何在 SOC 风格的工作流程中从日志中检测可疑的 Web 请求和可能的 SQL 注入指示器。 仓库结构 root@kitploit: paper/ presentation/ visuals/ detection-lab/ 检测实验室...

awesome-soc — Updated!

Awesome SOC An operational handbook and knowledge base to build, run and mature a SOC including CSIRT. Covering: SOC basics detection engineering threat intelligence SOC metrics/KPI SOC automation AI use cases and best practices SOP SOC playbooks Those are my view, based on my own experience as...

Accelerating detection engineering using AI-assisted synthetic attack logs generation

In this article 1. Core Idea: From TTPs to Logs 2. Approaches for Synthetic Attack Log Generation 3. Evaluation Datasets 4. References 5. Learn more Logs and telemetry are the foundation of modern cybersecurity. They enable threat detection, incident response, forensic investigation, and complian...