logo

0x783kb

ATT&CK

监测白银票据利用行为
0x01 前言    因为疫情导致在家办公，正好可以利用这段时间提升一下自己，所以打算学习一下Windows认证。 0x02 windows认证    Kerb
2023-04-07 ATT&CK ， 日志分析

基于SIGMA的独立检测工具-Zircolite
在之前的文章《深入了解Sigma规则以及如何编写自己的威胁检测规则》中，介绍过如何编写属于自己的Sigma规则。本文将讲述如何利用开源工具Zircolite结合Sigma规则集在端点进行检测。 ZircoliteZircolite是一个用于
2020-04-18 ATT&CK ， 日志分析

使用防火墙日志进行安全分析
防火墙日志目标：识别来自恶意IP的扫描尝试以及攻击行为 防火墙日志SOC分析师的异常搜索清单： 受感染的系统可能会开始发送与您的其他流量不同的流量。也许攻击者正试图窃取数据，或者机器人可能只是试图联系其C&C基础设施。因此，请仔细
2020-04-18 ATT&CK ， 日志分析

基于流量侧检测冰蝎webshell交互通讯
简述作为新型加密webshell管理客户端，冰蝎算是作为中国菜刀、C刀的替代者。根据网传使用效果，基本得到的反馈是相当的NICE！那么我们能否像检测中国菜刀、C刀那样对冰蝎客户端的流量进行检测，帮助网站管理员判断自己的网站是否存在后门。本文
2020-04-18 ATT&CK ， 日志分析

深入了解Sigma规则以及如何编写自己的威胁检测规则
Sigma是一种检测语言在之前的文章中，介绍了如何构建一套属于自己的小型仿真威胁狩猎平台，并利用事件日志进行威胁狩猎。本文将讲述如何借助Sigma，利用社区的力量来对关键威胁和新的攻击技术做出快速反应。 与YARA、Snort规则一样，Si
2020-04-18 ATT&CK ， 日志分析

监测SSP权限维持行为
简介Windows SSP（Windows安全支持提供程序）动态链接库在系统启动时加载到LSA（本地安全机构）进程中。一旦加载到LSA中，SSP动态链接库可以访问存储在Windows中的加密和明文密码，例如任何登录用户的域密码或智能卡PIN
2020-04-17 ATT&CK ， 日志分析

监测黄金票据攻击行为
简介票据传递攻击（PtT）是一种不访问账号密码而使用Kerberos凭据对用户进行身份认证的方法。Kerberos身份认证可以是横向移动到远程系统的第一步。在使用PtT技术时，可通过凭据导出技术获取有效账号的Kerberos票据。PtT可能
2020-04-16 ATT&CK ， 日志分析

监测万能密码攻击行为
简述帐户操作可以帮助攻击者维持在环境中对凭据和某些权限级别的访问。账户操作可能包括修改权限，修改凭据，添加或更改权限组，修改帐户设置或修改执行身份验证等方式。为了创建或操纵帐户，攻击者必须已经对系统或域具有足够的权限。 测试案例使用万能密码
2020-04-15 ATT&CK ， 日志分析

检测AdminSDHolder攻击
来自ATT&CK的描述帐户操作可以帮助攻击者维持在环境中对凭据和某些权限级别的访问。账户操作可能包括修改权限，修改凭据，添加或更改权限组，修改帐户设置或修改执行身份验证等方式。为了创建或操纵帐户，攻击者必须已经对系统或域具有足够的权
2020-04-12 ATT&CK ， 日志分析

DSRM密码重置与检测
来自ATT&CK的描述攻击者可能会使用凭据访问技术窃取特定用户或服务账号的凭据，或者在侦察过程的早期通过社会工程捕获凭据以获得首次访问权限。 攻击者可以使用三种账号：默认账号、本地账号和域账号。默认账号是操作系统的内置账号，例如Wi
2020-04-11 ATT&CK ， 日志分析