Detection & Monitoring

Safe Mode Boot erkennen: wie Angreifer und Ransomware das System in den abgesicherten Modus starten, in dem EDR und Virenschutz nicht laden - bcdedit-Konfiguration, SafeBoot-Registry-Eintrag und erzwungener Neustart…

Timestomping erkennen: wie Angreifer die Zeitstempel abgelegter Dateien zurücksetzen, um den Zeitstrahl einer Untersuchung zu brechen - PowerShell-Zeitstempel-Befehle, bekannte Werkzeuge und das Sysmon-Ereignis 2 als Signal. Drei sigma-cli-validierte…

Windows Script Host erkennen: wie Angreifer VBScript und JScript über wscript und cscript ausführen - meist nach einem Phishing-Klick. Skript aus dem Benutzerpfad, Office-Script-Host-Kette und nachgeladene Shell als…

Exfiltration Over C2 Channel erkennen: wie Angreifer gesammelte Daten über den bereits bestehenden Command-and-Control-Kanal abziehen - Upload per curl, PowerShell oder bitsadmin und das Volumen-Missverhältnis im Netz. Drei…

Masquerading erkennen: wie Angreifer Schadcode mit dem Namen, Pfad oder der Endung von etwas Harmlosem tarnen - svchost.exe aus dem falschen Verzeichnis, umbenannte Bordmittel, doppelte Dateiendung. Drei sigma-cli-validierte…

External Remote Services erkennen: wie Angreifer exponierte Fernzugänge wie RDP, VPN oder SSH mit gültigen Zugangsdaten als Einstieg nutzen - oder RDP selbst freischalten. Anmeldeprotokolle und RDP-Aktivierung als…

Resource Hijacking erkennen: wie Angreifer fremde Rechenleistung für Kryptomining kapern und dabei unbemerkt bleiben wollen - Stratum-Protokoll, Miner-Binaries und Pool-Adressen als Signal. Drei sigma-cli-validierte Sigma-Regeln, Härtung und Test.…

Exploitation for Privilege Escalation erkennen: wie Angreifer eine echte Schwachstelle in Dienst, Kernel oder Treiber ausnutzen, um auf SYSTEM- oder Kernel-Rechte zu springen - und welche Spuren das…

Host-Firewall schwächen (T1562.004 / v19: T1686.003): Windows-Firewall per netsh oder PowerShell abschalten oder eine freizügige Allow-Regel anlegen - mit drei sigma-cli-validierten Sigma-Regeln erkennen.

Bösartige Office-Dokumente (T1204.002): Makro startet Shell, Download-Werkzeug oder schreibt eine Nutzlast - an der Office-Elternschaft mit drei sigma-cli-validierten Sigma-Regeln erkennen.