KQL-threat-hunting-queries

Caza/detección de amenazas mediante consultas KQL root@kitploit: | |/ / | | | | | | | | | / | | | | | | | | | \ | | | | \ | |/ | | ' | | | | | | | | || | | | | / \ | | | || | | | | | | | | | || | | | | . | || | | | | | | !NOTE 27 de enero: Tras casi un año de contribuciones, este repositorio...

kestrel-lang

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/logo/logowtext.png :width: 460 :alt: Kestrel威胁狩猎语言 |readthedocs| |pypi| |downloads| |codecoverage| |black| | 使用原生查询/脚本（左）还是Kestrel（右）进行狩猎？ 一次端到端的网络威胁狩猎通常需要在多个数据源/环境中执行，并在狩猎流程中的任意位置进行 enrichment/ML/可视化步骤。 .. image::...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI - 用于通过Windows事件日志进行威胁狩猎的PowerShell模块 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net Twitter: @ericconrad http://ericconrad.com 示例EVTX文件位于.\evtx目录中 注意...

rastrea2r

.. image:: https://github.com/rastrea2r/rastrea2r/blob/master/logo.png :align: center :alt: 标志 .. image:: https://travis-ci.org/rastrea2r/rastrea2r.svg?branch=master :target: https://travis-ci.org/rastrea2r/rastrea2r.svg?branch=master :alt: 主分支的 travis-ci 状态 .. image::...

ALPC-Enumerator

Enumerador de Puertos ALPC Consciente de PPL Una herramienta userland de Windows para enumerar y clasificar puertos de Advanced Local Procedure Call ALPC, incluyendo aquellos propiedad de procesos PPL Protected Process Light donde la duplicación estándar de handles falla. Las herramientas de...

Ransomware-Tool-Matrix

Matriz de Herramientas de Ransomware Este repositorio contiene una lista de las herramientas que utiliza cada banda de ransomware o banda de extorsión Como defensores, debemos aprovechar el hecho de que muchas de las herramientas utilizadas por estos ciberdelincuentes se reutilizan con frecuencia...

Red-Teaming-Toolkit

Red Teaming 工具包 本仓库包含尖端的开源安全工具（OST），这些工具将在对抗模拟期间为您提供帮助，并且作为面向威胁猎手的信息，可以使检测和预防控制更加容易。以下工具列表可能被 APT 和人为操作勒索软件（HumOR）等威胁行为者滥用。如果您想为此列表做出贡献，请向我发送拉取请求。 目录 侦察 初始访问 投递 态势感知 凭据转储 权限提升 防御规避 持久化 横向移动 外传 杂项 侦察 名称| 描述| URL ---|---|--- RustScan| 现代端口扫描器。快速发现端口（最快 3 秒）。通过我们的脚本引擎运行脚本（支持 Python、Lua、Shell）。|...

Tylium

Tylium 入侵检测、安全分析和威胁狩猎的主要数据管道 这些文件包含用于生成EDR（端点检测与响应）数据的配置，以及标准系统日志。这些配置使得能够使用F/OSS（免费和/或开源工具）生成这些数据流。F/OSS工具包括：Linux的Auditd、Windows的Sysmon和Mac的Xnumon。此外，还包括一组关于配置Suricata事件和规则的说明。 这些数据集枚举和/或生成威胁狩猎技术以及各种安全分析所需的安全相关事件类型。...

sigma

Sigma - SIEM系统的通用签名格式 欢迎来到 Sigma 主规则仓库。这里是检测工程师、威胁猎手以及所有安全防御从业者协作开发检测规则的地方。该仓库提供了 3000 多条不同类型的检测规则，旨在让所有人都能免费获得可靠的检测能力。 目前仓库提供三种类型的规则： 通用检测规则 —— 与特定威胁无关，旨在检测可能被、正在被或将来可能被潜在威胁行为者使用的某种行为或技术/过程的实现。 威胁狩猎规则 —— 范围更广，旨在为分析师提供调查潜在可疑或恶意活动的起点。 新兴威胁规则 —— 覆盖特定威胁，在特定时间段内具有时效性和相关性。这些威胁包括特定 APT...

gundog

gundog gundog - cacería guiada basada en PowerShell en Microsoft 365 Defender Gundog te proporciona cacería guiada en Microsoft 365 Defender. Especialmente si no únicamente para Alertas de Correo Electrónico y Puntos Finales por ahora. Funcionalidad Proporcionas un AlertID que podrías haber...

patoolkit

.. image:: https://user-images.githubusercontent.com/743886/43845704-6dbd2558-9ae1-11e8-9f77-239210fe7b6a.png PA Toolkit（Pentester Academy Wireshark Toolkit） PA Toolkit 是一组流量分析插件，用于扩展 Wireshark 的功能，使其从微观分析工具和协议解析器转变为宏观分析器和威胁猎手。PA Toolkit 包含针对多种协议的插件（包括解析器和 tap），涵盖以下场景： WiFi（WiFi 网络摘要、检测信标、去认证洪水等）...

strelka-ui

Releases | Pull Requests | Issues !Pull...

hayabusa

Windows 事件日志快速取证时间线生成器与威胁狩猎工具。 由 Yamato Security 使用内存安全的 Rust 语言编写 —— 唯一完全支持 Sigma（包括 v2 关联规则）的开源工具。 !https://img.shi...

chainsaw

Búsqueda y caza rápidas a través de artefactos forenses de Windows Chainsaw proporciona una potente capacidad de 'primera respuesta' para identificar rápidamente amenazas dentro de artefactos forenses de Windows, como los registros de eventos y el archivo MFT. Chainsaw ofrece un método genérico y...

msticpy

MSTIC Jupyter 和 Python 安全工具 Microsoft 威胁情报 Python 安全工具。 msticpy 是一个用于在 Jupyter Notebook 中进行信息安全调查和追捕的库。它提供以下功能： 从多个来源查询日志数据 使用威胁情报、地理位置和 Azure 资源数据丰富数据 从日志中提取活动指标 IoA 并解码编码数据 执行高级分析，例如异常会话检测和时间序列分解 使用交互式时间线、进程树和多维形态图可视化数据 它还包含一些节省时间的笔记本工具，例如用于设置查询时间边界、从列表中选择和显示项目以及配置笔记本环境的小部件。 msticpy 包最初是为支持...

ThreatHunting

ThreatHunting | Una aplicación de Splunk mapeada a MITRE ATT&CK para guiar tus búsquedas de amenazas Esta es una aplicación de Splunk que contiene varios paneles y más de 130 informes que facilitarán indicadores iniciales de caza para investigar. Obviamente necesitas estar ingiriendo datos de...

persisthunt

Detección de Persistencia, Búsqueda y Recopilación de Artefactos en Linux Resumen Uso Ejemplos de Detecciones Tabla de Técnicas Resumen persisthunt.sh ayuda a acelerar las investigaciones recolectando artefactos relacionados con persistencia específicos y destacando patrones sospechosos comúnment...

aether

Aether 版本：0.9（稳定版） Aether 是一款 Windows 内存取证和威胁狩猎工具，可扫描活动进程内存中的恶意模式、检测注入技术、植入签名及反射加载的 .NET 程序集。它采用多层置信度模型，大幅降低误报率，并主动搜寻恶意行为。Aether 在检测进程镂空（Hollowing）、APC、线程劫持等技术方面具有良好的能力。安全分析师可使用它进行扫描、狩猎，并快照可疑区域以进行离线分析。 文档：https://0xsp.com/docs/aether-getting-started/ 研究文章：...

HELK

HELK Hunting ELK（简称 HELK）是首批具备高级分析功能的开源狩猎平台之一，它通过 Jupyter 笔记本和 Apache Spark 在 ELK 堆栈之上提供了 SQL 声明式语言、图形化、结构化流处理乃至机器学习等高级分析能力。该项目最初主要为研究而开发，但由于其灵活的设计和核心组件，在配置得当且基础设施具有可扩展性的情况下，也可以部署在更大规模的环境中。 目标 为社区提供一个开源的狩猎平台，并分享威胁狩猎的基础知识。 加快狩猎平台的部署时间。 以更简单、更经济的方式改进狩猎用例的测试与开发。 通过 Apache Spark、GraphFrames 和 Jupyter...

Judge-Jury-and-Executable

法官、陪审团与执行者 一款威胁狩猎取证工具 特性： 立即扫描挂载的文件系统以发现威胁 或在事件发生前收集系统基线，以获得额外的威胁狩猎能力 可在事件发生前、发生中或发生后使用 适用于单台到多台工作站 扫描 MFT，绕过文件权限、文件锁定或操作系统文件保护/隐藏/阴影 为每个文件收集多达 51 个不同属性 扫描结果存入 SQL 表，便于后续搜索、跨多次扫描和/或多台机器聚合结果，以及进行历史或回溯分析 利用 SQL 的强大功能搜索文件系统、查询文件属性、回答复杂或高层级问题，并狩猎威胁或入侵指标 要求： .NET Framework v4.8 Microsoft Visual C++ 20...