关于 detecting-credential-dumping-techniques
这是一项利用 Sysmon 和 Windows 安全事件检测凭据转储活动的安全技能。内容涵盖 LSASS 访问、注册表配置单元导出、卷影副本活动和可疑工具，并生成 JSON 结果及 SIEM 查询。
主要功能
- 01利用 Sysmon 事件检测 LSASS 访问
- 02识别 SAM 配置单元导出命令
- 03检测 NTDS.dit 卷影副本活动
- 04分析进程访问模式和工具特征
- 05生成 JSON 结果和 SIEM 查询
适用场景
- 01调查疑似凭据窃取事件
- 02构建 Windows 凭据转储检测规则
- 03验证 SIEM 监控覆盖情况
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/detecting-credential-dumping-techniques确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSESKILL.es.mdreferences/api-reference.mdscripts/agent.py详细介绍
检测凭据转储技术
概述
凭据转储（MITRE ATT&CK T1003）是一种后渗透技术，攻击者通过该技术从操作系统内存、注册表配置单元或域控制器数据库中提取身份验证凭据。本技能涵盖通过 Sysmon 事件 ID 10（ProcessAccess）检测 LSASS 内存访问、通过 reg.exe 导出 SAM 注册表配置单元、通过 ntdsutil/vssadmin 提取 NTDS.dit，以及滥用 comsvcs.dll MiniDump。检测规则会分析 GrantedAccess 位掩码、可疑的调用进程以及已知工具特征。
何时使用
- 当调查需要检测凭据转储技术的安全事件时
- 当为该领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 当验证相关攻击技术的安全监控覆盖范围时
先决条件
- 部署 Sysmon v14+，并针对 lsass.exe 启用 ProcessAccess 日志记录（事件 ID 10）
- 启用 Windows 安全审核策略，开启进程创建日志记录（事件 ID 4688）并记录命令行
- 使用 Splunk 或 Elastic SIEM 采集 Sysmon 和 Windows 安全日志
- 使用 Python 3.8+ 进行日志分析
步骤
- 配置 Sysmon 以记录针对 lsass.exe 的 ProcessAccess 事件
- 将 Sysmon 事件 ID 10 和 Windows 事件 ID 4688 转发至 SIEM
- 针对已知的 GrantedAccess 模式（0x1010、0x1FFFFF）创建检测规则
- 检测针对 LSASS PID 的 comsvcs.dll MiniDump 和 procdump.exe
- 对 reg.exe 的 SAM/SECURITY/SYSTEM 配置单元导出命令发出告警
- 检测为窃取 NTDS.dit 而通过 ntdsutil/vssadmin 创建卷影副本的行为
- 将检测结果与用户/主机上下文关联以进行风险评分
预期输出
包含检测到的凭据转储指标的 JSON 报告，其中包括技术分类、严重性评级、进程详情、MITRE ATT&CK 映射以及 Splunk/Elastic 检测查询。
评论
支持 Markdown