beagle

Beagle 1. Beagle 소개 2. 설치 1. Docker 2. Python 패키지 3. 설정 3. 웹 인터페이스 1. 데이터 업로드 2. 기존 그래프 탐색 3. 그래프 인터페이스 1. 노드와 엣지 검사 2. 이웃 확장 3. 노드 숨기기 4. Mutators 실행 5. 노드 및 엣지 유형 전환 6. 실행 취소/재실행 및 초기화 7. 그래프 관점 4. Python 라이브러리 1. 엣지 생성 제어 2. 저장된 JSON 로드 5. 문서 Beagle 소개 Beagle은 데이터 소스와 로그를 그래프로 변환하는 침해 대응 및 디지털...

ThreatHunting

ThreatHunting | MITRE ATT&CK에 매핑된 Splunk 앱으로 위협 사냥을 안내합니다 이 Splunk 애플리케이션은 여러 대시보드와 130개 이상의 보고서를 포함하여 사냥 초기 지표를 조사할 수 있도록 지원합니다. 물론 Splunk에 Sysmon 데이터를 수집해야 하며, 좋은 구성은 여기에서 찾을 수 있습니다. 참고: 이 애플리케이션은 만병통치약이 아닙니다. 환경에서 효과적으로 작동하려면 튜닝과 실제 조사 작업이 필요합니다. 시스템 관리자와 가장 친한 친구가 되어 보세요. 초기에 발견된 지표의 많은 부분을 설...

sysmon-config

Sysmon ATT&CK 設定 提供されるファイルは、自己完結型パッケージとしてシステム監視を始めるための優れた出発点となるでしょう。この設定とその結果から、Sysmon で何が可能かをよく把握できます。お使いの環境によっては、微調整や除外ルールの追加が必要になる場合があることに注意してください。除外ルールが追加されず、1つ以上のルールが毎秒複数回発火する場合は、CPU使用率が高くなる可能性があります。 sysmonconfig-export.xml Pull request と issue チケットは歓迎します。新しい追加事項は、インラインまたは Git...

TelemetrySource

TelemetrySource テレメトリソースからイベントをトリガーする関数をマッピングするために作成されたプロジェクトです。 メインマッピングシート: Event Mapping Google Sheet 現在マッピングされているソース: Sysmon Windows セキュリティイベント Microsoft-Windows-Security-Auditing 脅威インテリジェンスイベント Microsoft-Windows-Threat-Intelligence 各ソースには、マッピングの仕組みを理解するために必要な情報をまとめた独自のREADMEファイルがあります。 ブログ:...

detection-validation

Detection-Validation 目的 このツールは、実際のプロセスをセットアップすることなく、悪意のあるプロセスイベントのシミュレーションを自動化します。 たとえば、w3wp.exe が Powershell を起動することをテストしたい場合、w3wp.exe イベントをシミュレートするために IIS のセットアップを行う必要があります。検証するルールが多い場合、これは非常に手間のかかる作業です。検出エンジンは Sysmon や EDR...

sysmon-modular

sysmon-modular | A Sysmon configuration repository for everybody to customise Sysmon Modular is a configuration repository for Microsoft Sysinternals Sysmon. Small XML modules make it easier to select, review and maintain the telemetry that is useful to your organisation. The sysmon-modular Go to...

sysmon-modular

sysmon-modular | A Sysmon configuration repository for everybody to customise Sysmon Modular is a configuration repository for Microsoft Sysinternals Sysmon. Small XML modules make it easier to select, review and maintain the telemetry that is useful to your organisation. The sysmon-modular Go to...

sysmon-parser

sysmon-parser Azure Sentinel 用に自動生成された Sysmon パーサー Sysmon-AllVersionsParser.txt は、Azure Sentinel の関数として読み込み、すべてのイベントを解析できます。 毎日トリガーされ、最新の Sysmon バージョンをインストールしてスキーマを抽出し、すべての一意のフィールドでパーサーを更新する Azure Devops パイプラインがあります。 PowerShell スクリプトは、Sysmon がインストールされているローカルマシンでも実行できます...

AV-EDR-Lab-Environment-Setup

AV/EDRラボ環境セットアップ 当初はMaldev Academy Discordから取得し、さらにリソースを追加しました。 Notionノート : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4 有料EDRが持つ特定の機能をエミュレートするために使用できるものの例: SACL - sysmon https://detect.fyi/sysmon-a-viable-alternative-to-edr-44d4fbe5735a?gi=eb4475ea6b3d...

SysmonEoP

SysmonEoP Sysmon의 임의 파일 삭제/쓰기 취약점CVE-2022-41120/CVE-2022-44704에 대한 개념 증명 취약점 취약점은 RPC를 통해 도달할 수 있는 ClipboardChange 이벤트를 처리하는 코드에 있습니다. 로컬 사용자는 RPC 서버로 데이터를 보낼 수 있으며, 해당 데이터는 이후 C:\Sysmon 디렉터리기본 ArchiveDirectory에 기록된 다음 삭제됩니다. 14.11 이전 버전에서 Sysmon은 디렉터리가 낮은 권한의 사용자에 의해 생성되었는지 또는 정크션junction인지 확인하지...

evtx-baseline

evtx-baseline サンプルソフトウェアのインストールと基本的なユーザー操作を含む、良性ソフトウェア（goodware）の evtx ログの例をホストするリポジトリです。 提供 win10-client.tgz：@phantinuss による提供 win11-client.tgz：@frack113 による提供 win7-x86.tgz：@pH-T による提供 win2022-evtx.tgz：@Neo23x0 による提供 win2022-ad.tgz：@frack113 による提供 win2022-0-20348-azure.tgz：@Neo23x0 による提供...

Vulnerability handling in VeloCloud Orchestrator (VCO) on-premises

VeloCloud has identified a vulnerability in VeloCloud Orchestrator VCO on-premises. This vulnerability allows external attackers to access privileged internal functions, which can compromise privacy, integrity, and availability. The vulnerability is actively exploited and has already been exploit...

Astra Linux – Vulnerability in Linux 5.10, Linux

In the Linux kernel, the following vulnerability has been resolved: remoteproc: sysmon: fix memory leak in qcomaddsysmonsubdev The kfree function should be called when ofirqgetbyname fails or devmrequestthreadedirq fails in qcomaddsysmonsubdev. Otherwise, a memory leak will occur; therefore, addi...

wazuh-iis-defense

Guia de Configuração — Monitoramento IIS com Wazuh + Sysmon...

MAL-2026-10465 Malicious code in node-sysmon-native (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 612887c8528ff96b3bc3a61d678b6376099480c080d2d8a0960fe7798ac25f33 On module load, index.js reconstructs a hex-encoded URL Buffer.from'687474703a2f2f3135322e35332e3132302e39302f636d64','hex' that decodes to...

ZERO-APT: A Closed-Loop Adversarial Framework for LLM-Driven Automated Penetration Testing under Intelligent Defense

LLM-driven automated penetration testing agents are typically evaluated against static targets that neither detect nor respond to attacks, so their behavior under intelligent defense remains untested. The causal consistency of multi-step attack chains likewise hinges on unstable LLM reasoning, an...

Unity Linux 20.1060a / 20.1070a Security Update: kernel (UTSA-2026-013621)

The Unity Linux 20 host has a package installed that is affected by a vulnerability as referenced in the UTSA-2026-013621 advisory. In the Linux kernel, the following vulnerability has been resolved: remoteproc: sysmon: fix memory leak in qcomaddsysmonsubdev The kfree should be called when...

Unity Linux 20.1060e / 20.1070e Security Update: kernel (UTSA-2026-010876)

The Unity Linux 20 host has a package installed that is affected by a vulnerability as referenced in the UTSA-2026-010876 advisory. In the Linux kernel, the following vulnerability has been resolved: remoteproc: sysmon: fix memory leak in qcomaddsysmonsubdev The kfree should be called when...

Linux Distros Unpatched Vulnerability : CVE-2022-50836

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available. - remoteproc: sysmon: fix memory leak in qcomaddsysmonsubdev The kfree should be called when ofirqgetbyname fails or devmrequestthreadedirq fails in...

SUSE CVE-2022-50836

In the Linux kernel, the following vulnerability has been resolved: remoteproc: sysmon: fix memory leak in qcomaddsysmonsubdev The kfree should be called when ofirqgetbyname fails or devmrequestthreadedirq fails in qcomaddsysmonsubdev, otherwise there will be a memory leak, so add kfree to fix it...