-
Persistenz erkennen: geplante Aufgaben, Dienste und WMI-Ereignisse
Persistenz erkennen: die drei häufigsten Mechanismen, geplante Aufgaben (4698, T1053.005), Dienste (7045, T1543.003) und permanente WMI-Ereigniskonsumenten (Sysmon 19 bis 21, T1546.003), jeweils mit Logquellen, Muster und einer Sigma-Regel,…
-
Seitliche Bewegung erkennen: RDP-Ketten, Admin-Freigaben, PsExec
Lateral Movement erkennen: RDP, administrative Freigaben mit PsExec-artiger Dienstausführung und WMI oder WinRM, jeweils mit den Spuren auf Ziel, Quelle und im Netz, das gemeinsame Muster aus Richtung,…