-
Persistenz erkennen: geplante Aufgaben, Dienste und WMI-Ereignisse
Persistenz erkennen: die drei häufigsten Mechanismen, geplante Aufgaben (4698, T1053.005), Dienste (7045, T1543.003) und permanente WMI-Ereigniskonsumenten (Sysmon 19 bis 21, T1546.003), jeweils mit Logquellen, Muster und einer Sigma-Regel,…
-
AS-REP-Roasting erkennen: Konten ohne Vorauthentifizierung
AS-REP Roasting erkennen: Konten ohne Kerberos-Vorauthentifizierung im Bestand und in Event 4768 (PreAuthType 0), das Setzen der Option in 4738, die Aufzählung über Fehler 0x19. Drei Sigma-Regeln, Blindspots,…
-
DCSync erkennen: Replikationsrechte außerhalb der Domain Controller
DCSync erkennen: Event 4662 mit AccessMask 0x100 und den Replikations-GUIDs richtig lesen, die SACL-Voraussetzung am Domänenobjekt, die Rechtevergabe in 5136 und DRSGetNCChanges im dce_rpc.log von Zeek. Drei Sigma-Regeln,…
-
Pass-the-Hash erkennen: Anmeldetyp 9 und NTLM ohne Passwort
Pass the Hash erkennen: wie die Anmeldung mit dem NTLM-Hash funktioniert, die drei Stellen mit Spuren (LSASS-Zugriff in Sysmon 10, Anmeldetyp 9 mit seclogo, NTLM-Netzwerkanmeldung mit 4624 und…
-
Seitliche Bewegung erkennen: RDP-Ketten, Admin-Freigaben, PsExec
Lateral Movement erkennen: RDP, administrative Freigaben mit PsExec-artiger Dienstausführung und WMI oder WinRM, jeweils mit den Spuren auf Ziel, Quelle und im Netz, das gemeinsame Muster aus Richtung,…
-
Living off the Land erkennen: certutil, bitsadmin, mshta und Co.
LOLBins erkennen: wie Angreifer certutil, bitsadmin, mshta, rundll32, regsvr32, msiexec und wmic missbrauchen, welche Logquellen es zeigen, die vier Fragen, die Missbrauch von Verwaltung trennen, eine Sigma-Regel für…
-
Verschleierte PowerShell erkennen: Script Block Logging richtig nutzen
Verschleierte PowerShell erkennen: wie Angreifer PowerShell mit kodierten Befehlen und Verschleierung einsetzen, welche Ereignisse das zeigen, warum Event 4104 mit Script Block Logging das wichtigste ist, zwei Sigma-Regeln…
-
Kerberoasting erkennen: Event 4769, RC4 und das Muster im Kerberos-Log
Kerberoasting erkennen: Event 4769 richtig lesen, Fächerung vieler Diensttickets, RC4 nur im Kontext, Honey-SPN als Köder. Drei Sigma-Regeln, Blindspots, Härtung mit gMSA und AES, Lab-Test und Analysten-Checkliste. Serie…
-
Alert Fatigue: Warum SOCs an Alarmen ersticken und was dagegen hilft
Alert Fatigue ist der Zustand, in dem ein SOC aufhört, Alarme zu untersuchen. Woher die Alarmflut kommt, wie du sie mit fünf Kennzahlen misst, welche Maßnahmen sie senken…