-
Exploit Public-Facing Application erkennen: die Web-Shell im Blick
Ausnutzung öffentlicher Anwendungen (T1190): Web-Shell und ihre Folgen erkennen - Webserver-Prozess startet eine Shell oder Erkundung, neue Skript-Datei im Webroot. Mit drei sigma-cli-validierten Sigma-Regeln.
-
Deobfuscate/Decode erkennen: certutil, Base64 und entpackte Nutzlast
Kodierten Schadcode auf dem Host lesbar machen (T1140): certutil-Dekodierung, Base64 per FromBase64String und In-Memory-Dekomprimierung - mit drei sigma-cli-validierten Sigma-Regeln erkennen.
-
Exfiltration zu Paste-Diensten erkennen: Daten als Textschnipsel
Datenabfluss über Pastebin und Co. (T1567.003): Beute als Textschnipsel per curl oder PowerShell hochladen - mit drei sigma-cli-validierten Sigma-Regeln an Werkzeug, Paste-Adresse und API-Endpunkt erkennen.
-
Exfiltration zu Code-Repositories erkennen: Datenabfluss per git push
Datenabfluss über GitHub und GitLab (T1567.001): externes Repository anlegen, Remote verknüpfen, per git push oder API hochladen - mit drei sigma-cli-validierten Sigma-Regeln erkennen.
-
Automated Collection erkennen: wenn das Sammeln zum Skript wird
Die Sammelphase als Skript (T1119): rekursiv durchlaufen, nach Muster aufgreifen, kopieren oder archivieren - forfiles und PowerShell-Pipelines mit drei sigma-cli-validierten Sigma-Regeln erkennen.
-
Local Email Collection erkennen: das Postfach als Beute
Das lokale Postfach einsammeln (T1114.001): Suche nach den Outlook-Datendateien .pst/.ost, ihr Kopieren und skriptgesteuerter Outlook-Zugriff per COM - mit drei sigma-cli-validierten Sigma-Regeln erkennen.
-
Data from Network Shared Drive erkennen: die Beute auf den Freigaben
Daten von Netzfreigaben einsammeln (T1039): rekursive Dokumentsuche auf UNC-Pfaden, Massen-Kopieren per robocopy/xcopy, Zugriff über die Admin-Freigaben C$/ADMIN$ - mit drei sigma-cli-validierten Sigma-Regeln erkennen.
-
Data from Local System erkennen: die Beute auf dem Rechner
In der Sammelphase durchsucht der Angreifer den Rechner nach Beute - Passwörter in Dateiinhalten, Dokumente, Geheimnis-Dateien wie KeePass und SSH-Schlüssel. So erkennst du Data from Local System -…
-
Domain Trust Discovery erkennen: die Pfade zwischen den Domänen
Vertrauensstellungen sind die Pfade in benachbarte Domänen und Forests. So erkennst du Domain Trust Discovery über nltest /domain_trusts, PowerView und den .NET-Weg - mit drei sigma-cli-validierten Sigma-Regeln.
-
Security Software Discovery erkennen: der Blick auf die Abwehr
Vor dem Umgehen der Abwehr prüft der Angreifer, welcher Virenschutz und welches EDR laufen - per WMI-Abfrage, Produktsuche oder Defender-Status. So erkennst du Security Software Discovery - mit…