mcpField
D
detecting-living-off-the-land-with-lolbas

detecting-living-off-the-land-with-lolbas

github.com/mukul975安全35.2k43 次安装8 周前更新
代码仓库

关于 detecting-living-off-the-land-with-lolbas

面向 SOC 分析师和安全团队的检测技能，用于调查合法系统二进制文件、脚本和库遭滥用的情况。它结合进程遥测、Sigma 规则、父子进程分析和 ATT&CK 映射。

主要功能

  1. 01建立优先级 LOLBin 监控清单
  2. 02收集进程创建遥测
  3. 03创建 Sigma 检测规则
  4. 04分析父子进程异常
  5. 05映射至 MITRE ATT&CK

适用场景

  1. 01调查疑似 LOLBin 滥用
  2. 02编写威胁狩猎查询与检测规则
  3. 03检查相关技术的监控覆盖

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-living-off-the-land-with-lolbas

安装后在 Claude Code 中输入/detecting-living-off-the-land-with-lolbas确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 LOLBAS 检测 Living Off the Land

概述

Living Off the Land Binaries、Scripts 和 Libraries（LOLBAS）是攻击者滥用的合法系统工具，用于执行恶意操作并规避检测。本技能涵盖使用 Sysmon 和 Windows 事件日志的进程遥测，并结合基于 Sigma 规则的检测，来检测对 certutil.exe、regsvr32.exe、mshta.exe、rundll32.exe、msbuild.exe 及其他 LOLBin 的滥用。

何时使用

  • 在调查需要检测 living off the land with lolbas 的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 已启用命令行日志记录的 Sysmon 或 Windows 安全事件日志（事件 ID 4688）
  • Sigma 规则转换工具（sigmac 或 sigma-cli）
  • 用于日志摄入的 SIEM 平台（Splunk、Elastic 或类似平台）
  • Python 3.8+ 以及 pySigma 库
  • LOLBAS 项目参考数据库

步骤

  1. 建立 LOLBin 监视列表 — 构建受监控二进制文件的优先级列表（certutil、mshta、regsvr32、rundll32、msbuild、installutil、cmstp、wmic、bitsadmin）
  2. 收集进程遥测 — 摄入 Sysmon 事件 ID 1（进程创建）和 Windows 4688 事件，并完整捕获命令行
  3. 构建 Sigma 检测规则 — 为每个 LOLBin 创建 Sigma 规则，匹配可疑的命令行参数、网络活动以及父子进程异常
  4. 分析父子关系 — 标记生成 LOLBin 的异常父进程（例如 Excel 生成 certutil、Word 生成 mshta）
  5. 对告警进行评分和优先级排序 — 基于参数异常、父进程、执行路径和网络指标应用风险评分
  6. 生成检测报告 — 生成所有 LOLBin 滥用检测的结构化报告，并映射 MITRE ATT&CK

预期输出

  • 列出检测到的 LOLBin 滥用事件及严重性评分的 JSON 报告
  • 每项检测的 MITRE ATT&CK 技术映射（T1218、T1105、T1140、T1127）
  • 父子进程异常分析
  • Sigma 规则匹配详情及原始事件数据

评论

支持 Markdown