-
Datenarchivierung vor dem Abfluss erkennen: Staging und Split-Archive
Datenarchivierung erkennen: wie Angreifer gesammelte Daten vor dem Abfluss in passwortgeschützte, geteilte Archive packen und welche Spuren Sysmon Event 1, 4688 und 11 zeigen. Drei sigma-cli-validierte Sigma-Regeln, Härtung…
-
Process Injection erkennen: Remote-Thread, Hollowing und Prozesszugriff
Process Injection erkennen: Remote Thread Injection, DLL Injection, PE Injection, Thread Hijacking, APC und Process Hollowing - mit Sysmon, EDR, Sigma-Regeln, Tuning und Analysten-Checkliste.
-
DLL-Hijacking erkennen: Sideloading und Search Order Hijacking
DLL-Hijacking erkennen: wie Angreifer per Search Order Hijacking und Side-Loading ihre DLL in einen vertrauenswürdigen Prozess laden, und welche Spuren Sysmon Event 7, 11 und 1 zeigen. Drei…
-
Mark of the Web und HTML-Smuggling erkennen: die leise Zustellung
Mark of the Web und HTML-Smuggling erkennen: wie Angreifer die Nutzlast erst im Browser zusammenbauen und per ISO-Container den MOTW-Schutz umgehen, und welche Spuren Sysmon Event 15 zeigt.…
-
RBCD und Shadow Credentials erkennen: moderne AD-Rechteausweitung
RBCD und Shadow Credentials erkennen: wie Angreifer über ein Schreibrecht und ein einziges AD-Attribut zur Kontoübernahme kommen, und welche Spuren Event 5136, 4741 und PKINIT hinterlassen. Drei sigma-cli-validierte…
-
Impacket erkennen: psexec, smbexec, wmiexec und atexec
Impacket erkennen: wie psexec, smbexec, wmiexec und atexec Befehle auf entfernten Systemen ausführen und welche Spuren Dienst, Freigabe, Anmeldung und Ausgabeumleitung hinterlassen. Drei sigma-cli-validierte Sigma-Regeln, Test und Tuning.…
-
Infostealer erkennen: Browser-Passwörter, Cookies und DPAPI
Infostealer erkennen: wie RedLine, Vidar und Co. Browser-Passwörter, Cookies und Wallets abgreifen und DPAPI entschlüsseln, und welche Spuren bleiben. Drei sigma-cli-validierte Sigma-Regeln, die nötige SACL, Test und Tuning.…
-
Cobalt Strike und Beaconing erkennen: Beacon, Named Pipes und Spawnto
Cobalt Strike erkennen: wie Beacon über Beaconing, benannte Pipes und Spawnto-Injection arbeitet und welche Spuren bleiben. Drei sigma-cli-validierte Sigma-Regeln, die Netzwerkseite, Test und Tuning. Serie "Angriff erkennen".
-
NTLM-Relay und Responder erkennen: LLMNR-Poisoning und die Abwehr
Responder und NTLM-Relay führen ohne geknacktes Passwort bis zum Domain Admin. LLMNR-Poisoning, Relay auf SMB, LDAP und AD CS - mit drei sigma-cli-validierten Sigma-Regeln, Härtung und Test.
-
Ransomware-Vorbereitung erkennen: das Fenster vor der Verschlüsselung
Ransomware zeigt sich vor der Verschlüsselung: gelöschte Schattenkopien, reihenweise gestoppte Dienste und Erpresserschreiben. Drei sigma-cli-validierte Sigma-Regeln für das Erkennungsfenster, mit Test und Tuning.