-
Dienste stoppen vor der Verschlüsselung erkennen (T1489)
Dienste stoppen vor der Verschlüsselung erkennen: Ransomware schaltet Sicherheits-, Datenbank- und Backup-Dienste ab, um Dateisperren zu lösen und die Abwehr zum Schweigen zu bringen. Ein lauter, früher Alarm…
-
Schattenkopien und Backups sabotieren erkennen (T1490)
Schattenkopien und Backups sabotieren erkennen: Ransomware räumt vor der Verschlüsselung die Rettungswege weg - vssadmin, wmic, bcdedit, wbadmin. Einer der präzisesten und frühesten Alarme der Impact-Phase, mit drei…
-
Ransomware-Verschlüsselung erkennen: den lauten Moment stoppen
Ransomware-Verschlüsselung erkennen: der laute Moment eines Angriffs ist leicht zu sehen, aber die Zeit ist knapp. Massen-Dateiänderung, Krypto-Endungen, Ransom-Notes und Köder-Dateien als Signal - drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
Gedrosselte und geplante Exfiltration erkennen: low and slow
Gedrosselte und geplante Exfiltration erkennen: wie Angreifer den Abfluss low and slow in gleich große, getaktete Häppchen zerlegen, um unter Volumen-Schwellen zu bleiben - und wie das Muster…
-
Exfiltration über alternative Protokolle erkennen: FTP, SMTP, ICMP
Exfiltration über alternative Protokolle erkennen: Daten verlassen das Netz über ein zweites, unauffälliges Protokoll - FTP, SMTP, TFTP, ICMP. Netz-Telemetrie als Kern, drei sigma-cli-validierte Sigma-Regeln, Härtung und Test.…
-
Screen Capture und Clipboard erkennen: Bildschirmfotos und Zwischenablage
Screen Capture und Clipboard erkennen: skriptbasierte Bildschirmaufnahme und Zwischenablage-Abgriff über die Kommandozeile, Bilddateien und Intervallmuster. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test. Serie "Angriff erkennen".
-
Keylogging erkennen: Tastaturaufzeichnung und ihre Spuren
Keylogging erkennen: warum reines Abgreifen von Tastatureingaben schwer fassbar ist und welche Begleitspuren bleiben - skriptbasierte Keylogger in der Kommandozeile, Autostart-Verankerung und Ausgabedatei. Drei sigma-cli-validierte Sigma-Regeln, Härtung und…
-
Event-Log-Löschung erkennen: Event 1102, wevtutil und der Protokolldienst
Event-Log-Löschung erkennen: wie Angreifer per wevtutil, PowerShell oder gestopptem Protokolldienst ihre Spuren verwischen und warum das Aufräumen selbst die deutlichste Spur ist (Event 1102). Drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
Lokale Host-Erkundung erkennen: whoami, systeminfo und wmic
Host-Erkundung erkennen: wie Angreifer mit whoami, systeminfo, tasklist, ipconfig und wmic den Rechner auskundschaften und warum die Häufung das Signal ist, nicht das Einzelkommando. Drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
AD- und Netz-Enumeration erkennen: net, nltest und AD-Cmdlets
AD-Enumeration erkennen: wie Angreifer per net, nltest, dsquery und AD-Cmdlets Konten, Gruppen, Domänencontroller und Vertrauensstellungen auskundschaften und welche Spuren Sysmon Event 1 und 4688 zeigen. Drei sigma-cli-validierte Sigma-Regeln,…