Detection-Rules

APT29 检测工程 基于对 MITRE ATT&CK 评估 APT29 数据集中 196,071 个 Sysmon 事件的分析，开发了生产就绪的 Sigma 检测规则。 概述 本仓库包含针对 APT29 模拟过程中观察到的对手行为经过验证的检测规则。每条规则均针对实际攻击数据进行了测试，转换为 Splunk SPL 并验证了误报率。 分析发布在： Detection Desk 检测覆盖范围 MITRE 技术| 规则名称| 严重性| 状态 ---|---|---|--- T1003.001| LSASS 进程访问权限完全| 高| 已验证 T1059.001, T1027| 可疑的...

CVE-2024-36991

Splunk 路径遍历漏洞利用 CVE-2024-36991 描述 这是一个针对 CVE-2024-36991 的概念验证（PoC）利用脚本，该漏洞是影响以下 Windows 版本 Splunk Enterprise 的路径遍历漏洞： 9.2.2 以下版本 9.1.5 以下版本 9.0.10 以下版本 该漏洞允许未经身份验证的攻击者通过利用 Splunk Web 界面中的路径遍历缺陷，访问服务器上的敏感文件。 严重性： 严重 影响： 任意文件读取 ⚠️ 受影响版本 Splunk Enterprise 9.2.2 Splunk Enterprise 9.1.5 Splunk...

HTSOC

HTSOC — 集成式SOC系统，用于事件监控、检测与调查 HTSOC是一个在实验环境中自建的Security Operations Center系统。该系统结合了日志收集、Splunk检测、TheHive告警/案件管理、Cortex可观测对象分析、MISP或VirusTotal的IOC查询，并通过n8n和Telegram进行通知编排。 CVE-2024-4577仅用于验证多层检测能力的用例；整个项目不局限于某一个CVE。 目录 目标 总体架构 组件 处理流程 检测能力 仓库结构 部署 测试与评估 在线系统清单 运维Runbook 测试清单 目标 系统模拟完整的SOC工作流程： 1...

Security-Detections-MCP

Security Detections MCP 一个 MCP（Model Context Protocol）服务器，让 LLM 查询 Sigma 、Splunk ESCU 、Elastic 、KQL 、Sublime 和 CrowdStrike CQL 安全检测规则的统一数据库。 初次使用？从设置指南开始——涵盖 macOS、Windows（WSL 和原生）和 Linux 的逐步说明。 想要托管版本？完全跳过安装：托管 MCP 设置指南 两种运行方式 本地版（全功能） ——就是你看到的这个 npm 包。在你自己的机器上运行，索引你自己的检测仓库，暴露所有 81 个工具。需要 Node.j...

Splunk-RCE-poc

Splunk RCE - 概念验证（PoC） 针对 CVE-2023-46214、SVD-2023-1104 的利用概念验证 使用方法 Splunk 实例 URL、用户名、密码、反向 Shell IP 和端口均需作为命令行参数提供。例如： root@kitploit: $ python3 CVE-2023-46214.py --url --username --password --ip --port 前置条件 具有上传到 adddatamethods 权限的 Splunk 凭据 注意：可能存在其他攻击途径，这只是我使用的方式 Splunk 未以 SHC 模式运行 分析...

struts-splunk

struts-splunk Apache Struts vulnerable con splunk...

phantom-playbooks

这是为 Splunk Phantom 开发的 Corelight 社区 Playbook 仓库。这些提供了一些示例，供你制作自己的 playbook。 Corelight Investigate DNS Alert 本 playbook 从 Splunk 获取 DNS 的已保存搜索或警报机制，并提取警报的 Zeek UID。然后使用逻辑根据 DNS 应答结果识别误报。接着，逻辑获取 DNS IPv4/IPv6 地址，并查找具有匹配 IP 元组的 Conn 日志。随后使用服务来查找 HTTP 或 SSL 流量，并提取有趣的元数据。如果在这些连接期间看到文件，则使用文件 SHA1 在...

rip_raw

Rip Raw Rip Raw is a small tool to analyse the memory of compromised Linux systems. It is similar in purpose to Bulk Extractor, but particularly focused on extracting system Logs from memory dumps from Linux systems. This enables you to analyse systems without needing to generate a profile. This ...

CVE-2024-36991-Tool

CVE-2024-36991-Herramienta Este POC binario automatiza la explotación de CVE-2024-36991 mediante el envío de solicitudes curl diseñadas a una instancia vulnerable de Splunk. Recupera archivos sensibles y los guarda localmente para su posterior análisis. El script es modular, permitiendo a los...

CVE-2024-36991

CVE-2024-36991 CVE-2024-36991 的 POC：此漏洞利用程序将尝试读取 Splunk 的 /etc/passwd 文件。 概述 这是一个针对 CVE-2024-36991 的批量扫描与利用工具：路径遍历漏洞，影响 Windows 上 Splunk Enterprise 版本低于 9.2.2、9.1.5 和 9.0.10 的实例。该漏洞由 Danylo Dmytriiev 发现。 使用方法 最低要求 Python 3.6 或更高版本 requests 库 单个目标： root@kitploit: python CVE-2024-36991.py -u...

attack_range

Splunk Attack Range v5 Splunk Attack Range は、インストルメント化されたクラウド環境（AWS、Azure、GCP）を構築し、攻撃をシミュレートし、データを Splunk に転送して、検出の開発とテストを行います。 機能: ラボの構築 — Terraform と Ansible を使用して、小さな本番環境に近いラボ（Splunk、Windows/Linux サーバー、オプションの Kali、Zeek など）をデプロイします。 攻撃のシミュレート — Atomic Red Team（およびその他の）手法を実行して、実際のテレメトリを生成します。...

attack_range

Splunk Attack Range v5 The Splunk Attack Range builds instrumented cloud environments AWS, Azure, GCP, simulates attacks, and forwards data into Splunk for detection development and testing. What it does: Build labs — Deploy a small, production-like lab Splunk, Windows/Linux servers, optional Kal...

C2-detection-manjusaka

检测 "Manjusaka" C2 框架 检测 C2 框架 Manjusaka："Sliver 和 Cobalt Strike 的中国同类框架" 参考资料： 检测逻辑详情： https://corelight.com/blog/detecting-manjusaka-c2-framework Talos 撰写的分析报告： https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html Suricata： Suricata 规则位于...

CVE-2026-20253-Splunk-Enterprise-Pre-Auth-RCE-

CVE-2026-20253 - Splunk Enterprise 预认证RCE PoC CVE-2026-20253 - Splunk Enterprise 预认证RCE PoC ⚠️ 警告 : 此脚本仅用于教育目的和授权环境下的测试。未经授权的使用是被禁止的，并且可能是非法的。 📋 描述 本仓库包含针对 CVE-2026-20253 漏洞的功能性概念验证（PoC），该漏洞影响特定版本的 Splunk Enterprise 。该漏洞允许未认证的攻击者： 在系统上创建任意文件...

SCOPE

SCOPE: 安全云运营紫色演练 SCOPE 利用确定性 Python 清单和有界 AI 代理运行 AWS 紫队工作流。它审计 AWS 资源，验证攻击路径，生成仅用于审查的利用剧本，生成控制措施，并指导 Splunk 调查。 工作原理 从 Claude Code、Antigravity CLI、Gemini CLI 或 Codex CLI 运行 SCOPE： root@kitploit: /scope:audit --all 阶段| 输出 ---|--- 审计| Python 枚举器清单：IAM、STS、S3、KMS、Secrets...

pwnspoof

pwnSpoof from Punk Security generates realistic spoofed log files for common web servers with customisable attack scenarios. Every log bundle is unique and completely customisable, making it perfect for generating CTF scenarios and for training serials. Can you find the attacker session and build...

msticpy

MSTIC Jupyter and Python Security Tools Microsoft Threat Intelligence Python Security Tools. msticpy is a library for InfoSec investigation and hunting in Jupyter Notebooks. It includes functionality to: query log data from multiple sources enrich the data with Threat Intelligence, geolocations a...

evtx

EVTX A cross-platform parser for the Windows XML EventLog format Features 🔒 Implemented using 100% safe rust - and works on all platforms supported by rust that have stdlib. ⚡ Fast - see benchmarks below. It's faster than any other implementation by orders of magnitude! 🚀 Multi-threaded. ✨ Suppor...

intelmq

docs/index.md...

whids

IMPORTANT: this README and other documentation is not updated to reflect the changes made to latest beta releases as a lot of changes happened. All this will be updated in time when a stable version will be released see Roadmap until next release. Feel free to run beta releases on your own and as...