awesome-lists

Listas de seguridad para detecciones SOC/DFIR 🐾 Caza de amenazas: Sitio de ThreatHunting keywords Listas de ThreatHunting keywords Reglas Yara de ThreatHunting Búsquedas de ThreatHunting Búsquedas de servicios de Windows Búsquedas de user-agents Búsquedas de DNS sobre HTTPS Búsquedas de TLD...

msticpy

MSTIC Jupyter 和 Python 安全工具 Microsoft 威胁情报 Python 安全工具。 msticpy 是一个用于在 Jupyter Notebook 中进行信息安全调查和追捕的库。它提供以下功能： 从多个来源查询日志数据 使用威胁情报、地理位置和 Azure 资源数据丰富数据 从日志中提取活动指标 IoA 并解码编码数据 执行高级分析，例如异常会话检测和时间序列分解 使用交互式时间线、进程树和多维形态图可视化数据 它还包含一些节省时间的笔记本工具，例如用于设置查询时间边界、从列表中选择和显示项目以及配置笔记本环境的小部件。 msticpy 包最初是为支持...

Threat-Hunting

威胁狩猎 | 检测工程 威胁狩猎 与检测查询 合集，适用于： CrowdStrike Falcon （使用 CQL – CrowdStrike 查询语言） Microsoft Defender XDR （使用 KQL – Kusto 查询语言） 旨在发现可疑进程、异常网络行为、离地生存二进制文件（LOLBins）、持久化机制、凭据访问、横向移动、C2 活动以及潜在的 APT 行为。所有查询尽可能映射到 MITRE ATT &CK 技术。 查询内容基于最新的威胁情报报告、新兴攻击活动及真实观察持续更新。 内容结构 /CrowdStrike/ → 用于 Falcon Insight /...

ThreatHunting

威胁狩猎项目 一个关于在IT环境中狩猎对手的信息库。 请务必访问 ThreatHunting.net 获取关于此仓库的更多信息。 许可证 简明扼要地说： 此仓库专为社区而设。你可以将其用于个人或商业用途，但需以某种可见方式注明出处。我们建议使用"数据由威胁狩猎项目提供，https://github.com/ThreatHuntingProject/ThreatHunting" 或大致相似的表述。不过请务必包含URL，以帮助更多人找到我们。...

ja4

JA4+™ 网络指纹识别 JA4+ 是由 FoxIO 开发的一套网络指纹识别方法，易于使用且易于共享。这些方法既适合人类阅读，也适合机器解析，有助于更有效地进行威胁狩猎和分析。这些指纹的用例包括扫描威胁行为者、恶意软件检测、会话劫持防护、合规自动化、位置追踪、DDoS 检测、威胁行为者分组、反向 Shell 检测等。 如需快速了解 JA4+ 并在分析时作为参考，请参阅： JA4+ 速查表 如需深入了解，请阅读我们关于 JA4+ 工作原理、为何有效以及可检测/预防哪些内容的博客文章： JA4+ 网络指纹识别 JA4/S/H/L/X/SSH JA4T：TCP 指纹识别 JA4T/TS/TSc...

thrunt-god

GET SHIT DONE English · Português · 简体中文 · 日本語 一个轻量但强大的元提示、上下文工程与规格驱动开发系统，适用于 Claude Code、OpenCode、Gemini CLI、Codex、Copilot、Cursor 和 Antigravity。 它解决的是 context rot：随着 Claude 的上下文窗口被填满，输出质量逐步劣化的问题。 npx thrunt-god@latest 支持 Mac、Windows 和 Linux。 "只要你清楚自己想要什么，它就真的能给你做出来。不扯淡。" "我试过 SpecKit、OpenSpec 和...

Ransomware-Tool-Matrix

Matriz de Herramientas de Ransomware Este repositorio contiene una lista de las herramientas que utiliza cada banda de ransomware o banda de extorsión Como defensores, debemos aprovechar el hecho de que muchas de las herramientas utilizadas por estos ciberdelincuentes se reutilizan con frecuencia...

agentic-threat-hunting-framework

Agentic Threat Hunting Framework ATHF Quick Start • Installation • Documentation • Examples Give your threat hunting program memory and agency. The Agentic Threat Hunting Framework ATHF is the memory and automation layer for your threat hunting program. It gives your hunts structure, persistence,...

ThreatHunting

ThreatHunting | 一个映射到MITRE ATT&CK的Splunk应用，指导威胁狩猎 这是一个Splunk应用程序，包含多个仪表板和超过130份报告，将帮助您调查初始狩猎指标。 您显然需要将Sysmon数据导入Splunk，好的配置可以在此处找到 注意： 此应用程序并非万能药，它需要调优和真正的调查工作才能在您的环境中真正有效。 尝试与您的系统管理员成为最好的朋友。他们将能够解释许多最初发现的指标。 非常感谢MITRE创建了ATT&CK框架！ 我们非常欢迎拉取请求/问题票证和新添内容！ Mitre ATT&CK 我致力于将所有搜索映射到ATT&CK框架。...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI - 用于通过Windows事件日志进行威胁狩猎的PowerShell模块 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net Twitter: @ericconrad http://ericconrad.com 示例EVTX文件位于.\evtx目录中 注意...

persisthunt

Linux 持久化检测、威胁狩猎与取证工件收集 摘要 使用方法 检测示例 技术表 摘要 persisthunt.sh 通过收集与持久化相关的定向取证工件并高亮常见于 Linux 持久化技术的可疑模式，帮助加快调查速度。 该脚本协助检测持久化、威胁狩猎，并针对广为人知的 Linux 持久化机制收集工件。检测结果根据置信度和严重性分为三个级别 - 高、低 和 参考信息。示例包括引用 /tmp/、/home/、/dev/tcp、curl 的可疑自启动条目，或检测到活跃的绑定/反向 shell。...

protections-artifacts

Protections Artifacts Elastic Security prevents ransomware and malware, detects advanced threats, and arms responders with vital context. It’s free and open, ready for every endpoint. Protections-Artifacts is the home of our detection logic rules, yara, etc for Elastic Security for endpoint. At...

kestrel-lang

.. image:: https://github.com/opencybersecurityalliance/kestrel-lang/raw/develop/logo/logowtext.png :width: 460 :alt: Kestrel威胁狩猎语言 |readthedocs| |pypi| |downloads| |codecoverage| |black| | 使用原生查询/脚本（左）还是Kestrel（右）进行狩猎？ 一次端到端的网络威胁狩猎通常需要在多个数据源/环境中执行，并在狩猎流程中的任意位置进行 enrichment/ML/可视化步骤。 .. image::...

Adama

Adama 威胁狩猎与安全分析搜索集 一组用于威胁狩猎和检测的已知日志和/或事件数据搜索。它们枚举了跨多种不同数据管道使用的搜索集。实现细节针对 ELK。Adama 是 SpaceCake 项目的一部分，该项目包含一系列狩猎、搜索、告警、可视化以及数据管道，用于入侵检测、安全分析和威胁狩猎，并采用 F/OSS（免费开源）工具。...

elastic-peak-dashboards

PEAK 基线威胁狩猎仪表盘 Kibana / Security Onion 3.0 — 一级与 ICS 协议分析 可导入的 Kibana 已保存对象仪表盘，实现了 Splunk PEAK 基线威胁狩猎方法论 ，用于网络威胁狩猎（CTH）和事件响应（IR）操作。基于 Security Onion 3.0.0 构建并验证，使用 Elasticsearch 中的 Zeek NSM 和 Suricata 数据。 概述 每个仪表盘都遵循一致的两阶段设计： 1. 建立基线 — 时间维度上的数量、基数指标、top-talker 表，以及针对特定协议的分布面板，使操作员能够了解特定网络上给定协议的 正...

aether

Aether 版本：0.9（稳定版） Aether 是一款 Windows 内存取证和威胁狩猎工具，可扫描活动进程内存中的恶意模式、检测注入技术、植入签名及反射加载的 .NET 程序集。它采用多层置信度模型，大幅降低误报率，并主动搜寻恶意行为。Aether 在检测进程镂空（Hollowing）、APC、线程劫持等技术方面具有良好的能力。安全分析师可使用它进行扫描、狩猎，并快照可疑区域以进行离线分析。 文档：https://0xsp.com/docs/aether-getting-started/ 研究文章：...

Crawlector

Crawl e ctor Crawlector（名称 Crawlector 是 Crawl er （爬虫）与 Detector （检测器）的组合）是一个威胁狩猎框架，专门用于扫描网站中的恶意对象。 注意-1 ：该框架于 2022 年 10 月 22 日在意大利贝加莫的 No Hat 会议上首次展示（幻灯片，YouTube 录像）。此外，它于 2022 年 12 月 2 日在新加坡的 AVAR 会议上第二次展示。 注意-2 ：演讲中提到的配套工具 EKFiddle2Yara（ 该工具可将 EKFiddle 规则转换为 Yara 规则 ）也同时在这两次会议上发布。 注意-3 ：2.0...

ThreatHunting-JupyterNotebooks

🟣 每周紫色团队 - 威胁狩猎笔记本 这是一套与 Weekly Purple Team YouTube 频道配套的威胁狩猎与检测工程 Jupyter 笔记本集合。每本笔记本都提供检测逻辑，帮助安全专业人员理解攻击技术与防御策略。 🎯 关于本仓库 这些笔记本弥合了红队战术与蓝队防御之间的差距。通过理解攻击的工作原理，我们构建更好的检测。每本笔记本旨在： 展示如何检测 真实世界的攻击技术 分析 遥测和日志数据 开发 检测逻辑与狩猎查询 📺 YouTube 频道 订阅 Weekly Purple Team 观看这些笔记本的视频讲解及更多网络安全内容，涵盖： 🔴 红队 - 攻击技术与工具 🔵 蓝...

hayabusa

Windows 事件日志快速取证时间线生成器与威胁狩猎工具。 由 Yamato Security 使用内存安全的 Rust 语言编写 —— 唯一完全支持 Sigma（包括 v2 关联规则）的开源工具。 !https://img.shi...

Judge-Jury-and-Executable

法官、陪审团与执行者 一款威胁狩猎取证工具 特性： 立即扫描挂载的文件系统以发现威胁 或在事件发生前收集系统基线，以获得额外的威胁狩猎能力 可在事件发生前、发生中或发生后使用 适用于单台到多台工作站 扫描 MFT，绕过文件权限、文件锁定或操作系统文件保护/隐藏/阴影 为每个文件收集多达 51 个不同属性 扫描结果存入 SQL 表，便于后续搜索、跨多次扫描和/或多台机器聚合结果，以及进行历史或回溯分析 利用 SQL 的强大功能搜索文件系统、查询文件属性、回答复杂或高层级问题，并狩猎威胁或入侵指标 要求： .NET Framework v4.8 Microsoft Visual C++ 20...