DCSYNCMonitor

DCSYNCMonitor 説明 このツールは、ドメインコントローラに展開して、ドメインコントローラの同期試行を警告するアプリケーション/サービスです。試行が検出されると、ツールはWindowsイベントログにイベントを書き込みます。これらのイベントはSIEMで相関させることができます。さらに、このツールは有効なDC IPのリストを受け取り、その構成では、DC SYNC試行が非DC IPから発生した場合にのみ警告します。このツールは、Microsoft ATAのような商用ツールや高度なIDS/IPSを使わずに、ブルーチームがDC SYNC攻撃やDC...

MrKaplan

Mr.Kaplan 説明 MrKaplanは、レッドチームが実行の痕跡を消去して隠れ続けることを支援するツールです。実行時刻、ファイルのスナップショットといった情報を保存し、各証拠を関連するユーザーに関連付けます。 このツールは、Unixマシン向けの類似ツールMoonWalkに触発されています。 詳細については、wikiページをご覧ください。 機能 イベントログの停止 ファイルアーティファクトの消去 レジストリアーティファクトの消去 複数のユーザーに対して実行可能 ユーザーおよび管理者として実行可能（管理者としての実行を強く推奨） ファイルのタイムスタンプを保存可能...

RDPassSpray

RDPassSpray RDPassSparyは、Microsoftドメイン環境でパスワードスプレー攻撃を実行するためのPythonツールです。 ユーザーをロックアウトしないように、必ずロックアウトポリシーを確認してください。 使用方法 まず、必要な依存関係をインストールします： pip3 install -r requirements.txt 次に、xfreerdpがインストールされていることを確認します： apt-get install python-apt apt-get install xfreerdp 最後に、必要なフラグを指定してツールを実行します： python3...

ketshash

Ketshash A little tool for detecting suspicious privileged NTLM connections, in particular Pass-The-Hash attack, based on event viewer logs. The tool was published as part of the "Pass-The-Hash detection" research - more details on "Pass-The-Hash detection" are in the blog post:...

ketshash

Ketshash イベントビューアのログに基づいて、不審な特権NTLM接続、特にPass-The-Hash攻撃を検出する小さなツール。 このツールは「Pass-The-Hash検出」研究の一環として公開されました。「Pass-The-Hash検出」の詳細については、ブログ記事をご覧ください： https://www.cyberark.com/threat-research-blog/detecting-pass-the-hash-with-windows-event-viewer 完全な研究はホワイトペーパーに記載されています：...

santa

Santa Santa is a binary and file access authorization system for macOS. It consists of a system extension that monitors for executions & file access, and makes decisions based on the contents of a local database, a GUI agent that notifies the user in case of a block decision, a background service...

Suborner

Suborner: 不可視のアカウント偽造ツール これは何？ 自分だけが知っているWindowsアカウントを作成するシンプルなプログラムです : net userやWindows OSのユーザー管理アプリケーション（例：netapi32::netuseradd）を使わずに不可視のローカルアカウントを作成 すべてのWindows NTマシンで動作（Windows XPから11、Windows Server 2003から2022） 認証成功後、RID Hijackingを使用して既存のアカウント（有効・無効問わず）を偽装...

DIAL

DIAL クラウド上のワークロードは、内部チームと同様にハッカーにも平等な機会を提供します。クラウドネイティブな企業は、外部からの攻撃と内部からの攻撃の両方にさらされています。セキュリティ侵害のリスクが増大し続け、クラウドの設定ミスがその最も一般的な要因の一つである中、検出までの平均時間（MTTD）を数分/時間/日から秒単位に短縮する必要があります。そこで、私たちは社内ツール DIAL（Did I Alert Lambda?） を紹介します。これは、任意の数のAWSアカウントを任意の期間監視するのに役立ちます。 DIALとは？ DIAL（Did I Alert Lambda?） は、AW...

CVE-2019-10779

CVE-2019-10779 GCHQ Stroomは、別のサイトでStroomダッシュボードを読み込める機能と、ウィンドウイベントのオリジンに対する保護が不十分なため、クロスサイトスクリプティングに対して脆弱です。...

CVE-2021-34486

CVE-2021-34486 Windows Etw LPE Windows 20H2 x64 でのみテスト済み ed2k://|file|cnwindows10businesseditionsversion20h2updatedmarch2021x64dvdca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/ @yongchuank に感謝します https://www.pixiepointsecurity.com/blog/advisory-cve-2021-34486.html...

ThreatHound

ThreatHound ThreatHound 是一款先进的网络安全工具，旨在实现高效的威胁检测与分析，专注于 Windows 事件日志。它提供了用户友好的界面来管理和分析安全数据。主要功能包括日志分析、Sigma 规则集成以及实时威胁检测。 主要特性： 针对 Windows 事件日志的威胁狩猎、受损评估和事件响应自动化 每日从源头下载并更新 Sigma 规则 包含超过 50 条内置检测规则 支持超过 2300 条 Sigma 检测规则 动态支持新的 Sigma 规则，并可将其加入检测规则库 轻松添加任何你偏好的检测规则 可轻松在 mapping.py 中添加新的事件日志源类型 Sigm...

logparser

Logparser Logparser は、構造化ログ分析の重要なステップである自動ログ解析のための機械学習ツールキットとベンチマークを提供します。logparser を適用することで、ユーザーは非構造化ログからイベントテンプレートを自動的に抽出し、生のログメッセージを構造化された一連のイベントに変換できます。ログ解析のプロセスは、文献ではメッセージテンプレート抽出、ログキー抽出、ログメッセージクラスタリングとしても知られています。 ログ解析の例 🌈 新着アップデート logparser の最初のリリース以降、Python 3 との非互換性により、多くの PR と issue...

WEFFLES

WEFFLES WEFFLESは、Windows Event ForwardingとPowerBIを使用して、高速で無料かつ効果的な脅威ハンティングコンソールを構築する方法です。 詳細なブログ記事は https://aka.ms/weffles でご覧いただけますが、急いでいる場合は wefsetup.ps1 が最初に参照すべきファイルです。 ありがとうございます。 Jessica https://twitter.com/jepaynemsft...

latma

Lateral movement analyzer tool Lateral movement analyzer LATMA collects authentication logs from the domain and Azure AD environments and searches for potential lateral movement attacks and suspicious activity, the lateral movement can be in the AD environment or between cloud and on-prem. The to...

GhostTask

Ghost Scheduled Task WithSecureによるスケジュールタスク改ざんの研究に着想を得て、レジストリキーの操作のみでスケジュールタスクを作成する可能性が説明されていました。このアプローチにより、4698や106といったスケジュールタスク作成イベントログの生成を回避でき、よりステルスな永続化手段が実現できます。これらの知見に基づき、私はレジストリの直接操作によるスケジュールタスク作成を実証するPOCを開発しました。...

Winshark

Winshark Wireshark の Windows イベントトレーシング Event Tracing for Windows 用プラグイン Microsoft Message Analyzer は廃止され、そのダウンロードパッケージは 2019 年 11 月 25 日に microsoft.com サイトから削除されました。 Wireshark は膨大なネットワークプロトコルディセクタライブラリを備えています。 Windows に最適なツールは、あらゆる種類のログを収集・混合できるものです。 Winshark の登場です!!! Winshark は ETW Event Tracin...

plaso

Plaso Plaso Langar Að Safna Öllu - すべてをスーパータイムラインに Plaso Plaso Langar Að Safna Öllu、別名 すべてをスーパータイムラインに は、 タイムラインを自動生成するためにいくつかのツールで使用される Python ベースの エンジンです。 Plaso のデフォルトの動作はスーパータイムラインを作成することですが、より 対象を絞ったタイムラインの 作成もサポートしています。 これらのタイムラインは、デジタルフォレンジック調査担当者/アナリストが、 一般的なコンピュータ上のログやその他のファイルに含まれる大量の情報を...

async-pico-hub

Async PICO HUB Async PICOs は、Cobalt Strike Beacon プロセス内で長時間稼働するイベント駆動型の Beacon Object Files（BOF）を実行するためのフレームワークです。Crystal Palace の PICO と Beacon 側の実行モデルを組み合わせることで、非同期実行、タスク追跡、グレースフルシャットダウン、安全な非同期出力を提供します。 Cobalt Strike のネイティブな非同期 BOF とは異なり、Async PICOs は Beacon のプロセス内で実行され、イベント発生時に Beacon...

CVE-2025-56605

CVE-2025-56605 XSS（クロスサイトスクリプティングの脆弱性） CVE-2025-56605 — Event Management System 1.0 における反射型XSS 説明: PuneethReddyHC/event-management 1.0 の register.php に、反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。 mobile POST パラメータは不適切に検証され、レスポンスにそのまま反映されるため、任意の JavaScript コードの注入が可能です。 CVE ID: CVE-2025-56605 発見者: Isroil...

SharpEventPersist

SharpEventPersist イベントログからのシェルコードの書き込み/読み取りによる永続化。 使用方法 SharpEventPersist ツールは、大文字小文字を区別する4つのパラメータを受け取ります。 -file "C:\path\to\shellcode.bin" -instanceid 1337 -source Persistence -eventlog "Key Management Service"。 シェルコードは16進数に変換され、"Key Management...