DeepBlueCLI

DeepBlueCLI DeepBlueCLI - 用于通过Windows事件日志进行威胁狩猎的PowerShell模块 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net Twitter: @ericconrad http://ericconrad.com 示例EVTX文件位于.\evtx目录中 注意...

whids

IMPORTANT: this README and other documentation is not updated to reflect the changes made to latest beta releases as a lot of changes happened. All this will be updated in time when a stable version will be released see Roadmap until next release. Feel free to run beta releases on your own and as...

Ghost-In-The-Logs

Ghost In The Logs This tool allows you to evade sysmon and windows event logging, my blog post about it can be found here Usage You can grab the lastest release here Starting off Once you've got the latest version execute it with no arguments to see the avalible commands root@kitploit: $ gitl.exe...

ThreatHunting

ThreatHunting | Una aplicación de Splunk mapeada a MITRE ATT&CK para guiar tus búsquedas de amenazas Esta es una aplicación de Splunk que contiene varios paneles y más de 130 informes que facilitarán indicadores iniciales de caza para investigar. Obviamente necesitas estar ingiriendo datos de...

sysmon-config

sysmon-config | Un archivo de configuración de Sysmon Esta es una versión bifurcada fork y modificada del sysmon config de @SwiftOnSecurity. Comenzó siendo simplemente una copia del repositorio original. Hemos fusionado la mayoría de las más de 30 pull requests abiertas. De este modo, hemos...

Detection-Rules

APT29 检测工程 基于对 MITRE ATT&CK 评估 APT29 数据集中 196,071 个 Sysmon 事件的分析，开发了生产就绪的 Sigma 检测规则。 概述 本仓库包含针对 APT29 模拟过程中观察到的对手行为经过验证的检测规则。每条规则均针对实际攻击数据进行了测试，转换为 Splunk SPL 并验证了误报率。 分析发布在： Detection Desk 检测覆盖范围 MITRE 技术| 规则名称| 严重性| 状态 ---|---|---|--- T1003.001| LSASS 进程访问权限完全| 高| 已验证 T1059.001, T1027| 可疑的...

FileWatchTower

FileWatchTower - FWT 注意：本项目已不再维护，从已归档项目中发布以供参考。它面向任何对开发文件分析软件感兴趣的人开放。 FWT 是一款利用 Sysmon 事件的安全分析与文件监控工具。它跟踪 Sysmon 事件日志源所报告的文件，执行深入的安全分析，然后生成 XML 或 JSON 格式的报告。这些报告可以输出到日志文件、外部 API 或 Windows 事件。 开发此项目的动机是收集系统中新建或修改文件的额外信息，从而为安全分析师提供更深入的洞察并减少分析时间。此外，FWT 生成的信息还可用于创建多种新的 SIEM 检测规则。 注意：请务必以管理员身份运行 Visua...

beagle

Beagle 1. About Beagle 2. Installation 1. Docker 2. Python Package 3. Configuration 3. Web Interface 1. Uploading Data 2. Browsing Existing Graphs 3. Graph Interface 1. Inspecting Nodes and Edges 2. Expanding Neighbours 3. Hiding Nodes 4. Running Mutators 5. Toggling Node and Edge Types 6...

beagle

Beagle 1. 关于 Beagle 2. 安装 1. Docker 2. Python 包 3. 配置 3. Web 界面 1. 上传数据 2. 浏览现有图 3. 图界面 1. 检查节点和边 2. 展开邻居节点 3. 隐藏节点 4. 运行变异器 5. 切换节点和边类型 6. 撤销/重做操作与重置 7. 图视角 4. Python 库 1. 控制边生成 2. 加载已保存的 JSON 5. 文档 关于 Beagle Beagle 是一款事件响应和数字取证工具，可将数据源和日志转换为图。支持的数据源包括 FireEye HX Triages、Windows EVTX 文件、SysMon...

ad-honeypot-autodeploy

ad-honeypot-autodeploy Deploy a small, intentionally insecure, vulnerable Windows Domain for RDP Honeypot fully automatically. Runs on self-hosted virtualization using libvirt with QEMU/KVM but it can be customized easily for cloud-based solutions. Used for painlessly set up a small Windows Domai...

SysmonCommunityGuide

TrustedSec Sysmon Community Guide This work is licensed under a Creative Commons Attribution-ShareAlike 4.0 International License, please attribute to TrustedSec LLC You are free to: Share — copy and redistribute the material in any medium or format. Adapt — remix, transform, and build upon the...

sysmon-config

sysmon-config | 适合所有人fork的Sysmon配置文件 这是一份Microsoft Sysinternals Sysmon配置文件模板，带有默认的高质量事件追踪功能。 该文件应能作为一个很好的起点，用于在自包含且易于访问的包中进行系统变更监控。此配置及其结果应能让你对Sysmon的能力有一个清晰的认识。请注意，这不会追踪诸如身份验证和其他对事件调查同样至关重要的Windows事件。 sysmonconfig-export.xml 因为几乎每一行都有注释，并且各个部分都附有说明，所以它还可以作为Sysmon的教程以及Windows系统中关键监控区域的指南。...

SysmonConfigPusher2

SysmonConfigPusher v2 一款基于网页的工具，用于管理 Windows 端点上的 Sysmon 配置 —— 支持无代理（WMI/SMB）和基于代理的部署。 功能特性 功能| 描述 ---|--- 无代理部署| 通过 WMI 和 SMB 推送 Sysmon 二进制文件和配置 代理支持| 适用于云虚拟机和 DMZ 服务器的轻量级代理 Docker 支持| 在 Linux/Docker 上运行，仅用于代理部署 Web 界面| 现代 React UI，支持实时部署进度 事件日志查看器| 从远程主机查询 Sysmon 日志 噪声分析| 识别高容量事件以调整配置 计划部署|...

EDR-Telemetry

EDR Telemetry 📖 Acerca de Una comparativa exhaustiva de las funciones de telemetría de productos EDR y agentes de endpoint como Sysmon. Este proyecto permite a los profesionales de la seguridad evaluar las capacidades de telemetría y, a la vez, promueve la transparencia de los proveedores. 🌐 Visi...

ThreadlessInject

Threadless Process Injection De mi charla en Bsides Cymru 2023: Agujas sin el hilo. Como red teamers, siempre nos encontramos en un juego del gato y el ratón con el equipo azul. Muchas soluciones antivirus y EDR en los últimos 10 años han avanzado significativamente en la detección genérica de...

CVE-2023-29343

CVE-2023-29343 这是 Sysmon 14.14 版本中任意文件写入漏洞的概念验证（PoC） 在最近一次补丁后，Sysmon 会检查 Archive 目录是否存在，如果存在，则检查该目录是否由 NT AUTHORITY\SYSTEM 所有，并且访问权限仅授予 NT AUTHORITY\SYSTEM。 如果两个条件都满足，Sysmon 将在此目录中写入/删除文件。 由于低权限用户无法更改文件/目录的所有权，我必须找到一个由 SYSTEM 拥有但给予低权限用户（或低权限用户所属的任何组）完全访问权限，或至少 WRITEDAC|DELETE|FILEWRITEATTRIBUTES...

MalwLess

MalwLess 模拟工具 MST MalwLess 是一款开源工具，允许你在不运行实际进程或 PoC 的情况下模拟系统受损或攻击行为。该工具旨在测试蓝队检测能力和 SIEM 关联规则。它提供了一个基于规则的框架，任何人都可以编写规则，因此当出现新技术或攻击时，你可以编写自己的规则并与社区分享。 这些规则可以模拟 Sysmon 或 PowerShell 事件。MalwLess 能够解析规则并将其直接写入 Windows 事件日志，然后你可以将其转发到事件收集器。 root@kitploit: MalwLess Simulation Tool v1.1 Author: @n0dec Sit...

Adaz

Adaz：Azure 中的 Active Directory 攻击测试实验室 该项目允许你 在 Azure 中轻松搭建 Active Directory 实验室 ，包含已加入域的工作站、Windows 事件转发、Kibana 和 Sysmon，并使用 Terraform/Ansible 进行部署。 它提供了一个用于你的域的高级配置文件，允许你自定义用户、组和工作站。 root@kitploit: dnsname: hunter.lab dcname: DC-1 initialdomainadmin: username: hunter password: MyAdDomain!...

attack_monitor

Attack Monitor Attack Monitor 是一个用 Python 编写的应用程序，旨在增强 Windows 7/2008（及所有更新版本）工作站/服务器的安全监控能力，并自动化恶意软件的动态分析。 当前模式（互斥）： 端点检测 ED 恶意软件分析（在专用虚拟机上） 基于以下来源的事件： Windows 事件日志 Sysmon Watchdog（文件系统监控 Python 库） TShark（仅恶意软件分析模式） 当前版本 0.9.0 Alpha 联系方式 [email protected] 演示 支持的操作系统 Windows 7、8、10（x86 或 x64...

attack_monitor

Attack Monitor Attack Monitor is Python application written to enhance security monitoring capabilites of Windows 7/2008 and all later versions workstations/servers and to automate dynamic analysis of malware. Current modes mutually exclusive: Endpoint detection ED Malware analysis on dedicated...