-
WinRM und PowerShell Remoting erkennen: Fernausführung über wsmprovhost
WinRM und PowerShell Remoting führen Befehle aus der Ferne aus - leise und wie Administration getarnt. Der Anker ist wsmprovhost.exe. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Lab-Test.
-
SMB und Admin-Shares erkennen: seitliche Bewegung über ADMIN$ und C$
ADMIN$ und C$ sind der bequemste Pfad für PsExec und Impacket, um sich seitlich zu bewegen. Drei sigma-cli-validierte Sigma-Regeln für Freigabe-Zugriff, Tool-Staging und net use - mit Härtung…
-
RDP-Missbrauch erkennen: seitliche Bewegung über Remotedesktop
RDP ist der sichtbarste Pfad der seitlichen Bewegung - und der unauffälligste, weil überall legitim. Drei sigma-cli-validierte Sigma-Regeln für Registry-Freischaltung, getunnelte Sitzung und Pass-the-Hash über RDP.
-
Audit-Logging abschalten erkennen: wenn gar nichts mehr entsteht
Statt Logs zu löschen, lässt ein Angreifer sie gar nicht erst entstehen - per auditpol, gestopptem EventLog-Dienst oder abgeschaltetem Kanal. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test.
-
ETW-Manipulation erkennen: wenn die Telemetrie verstummt
ETW ist das Telemetrie-Rückgrat von Windows und vieler EDR-Produkte. Wer es blendet, nimmt der Abwehr die Augen - aber jeder Weg hinterlässt eine Spur. Drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
AMSI-Umgehung erkennen: wenn der Scanner blind wird
AMSI-Bypässe sind der Türöffner für dateilose Angriffe - aber sie hinterlassen Spuren im PowerShell Script Block, in der Registry und beim DLL-Laden. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test.
-
Named-Pipe-Impersonation erkennen: die Potato-Familie (T1134.001)
Named-Pipe-Impersonation erkennen: wie die Potato-Familie über SeImpersonate von einem Dienstkonto zu SYSTEM eskaliert - und warum das Ergebnis (eine SYSTEM-Shell aus einem Dienst) das zuverlässigste Signal ist. Drei…
-
Token-Manipulation und Impersonation erkennen (T1134)
Token-Manipulation und Impersonation erkennen: wie Angreifer Zugriffstokens stehlen oder fälschen, um ohne Passwort unter fremder Identität zu handeln - und welche Begleitspuren das verrät. Drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
UAC-Bypass erkennen: wenn Windows sich selbst eleviert
UAC-Bypass erkennen: wie Angreifer über manipulierte Registry-Schlüssel auto-elevierte Windows-Prozesse auf fremden Code umbiegen - und welche eindeutigen Spuren das hinterlässt. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test. Serie "Angriff…
-
Datenvernichtung und Wiper erkennen (T1485/T1561)
Datenvernichtung und Wiper erkennen: wenn ein Angriff nicht erpresst, sondern zerstört - sicheres Löschen, Zerstören der Datenträgerstruktur und Roh-Disk-Zugriff als Signal. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test. Abschluss…