mcpField
D
detecting-malicious-scheduled-tasks-with-sysmon

detecting-malicious-scheduled-tasks-with-sysmon

github.com/mukul975安全35.2k42 次安装8 周前更新
代码仓库

关于 detecting-malicious-scheduled-tasks-with-sysmon

面向 SOC 分析师的检测技能，使用 Sysmon 和 Windows 事件调查可疑计划任务。它说明如何关联事件，并搜寻编码命令、可疑执行路径和远程任务创建。

主要功能

  1. 01配置任务相关 Sysmon 事件
  2. 02检测可疑 schtasks.exe 参数
  3. 03关联任务注册与进程事件
  4. 04搜寻编码命令和公共目录路径
  5. 05针对远程任务创建告警

适用场景

  1. 01调查计划任务持久化行为
  2. 02检测编码的任务载荷
  3. 03查找从公共目录运行的任务
  4. 04猎杀远程创建的任务

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-malicious-scheduled-tasks-with-sysmon

安装后在 Claude Code 中输入/detecting-malicious-scheduled-tasks-with-sysmon确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 Sysmon 检测恶意计划任务

概述

攻击者滥用 Windows 任务计划程序（schtasks.exe、at.exe）来实现持久化（T1053.005） 和横向移动。Sysmon 事件 ID 1 会捕获 schtasks.exe 的进程创建及其完整 命令行参数，而事件 ID 11 会捕获写入 C:\Windows\System32\Tasks\ 的任务 XML 文件。Windows 安全事件 4698 会记录任务注册详细信息。 本技能涵盖构建检测规则，将这些事件关联起来，以识别 从可疑路径创建、带有编码载荷或针对远程系统的 恶意计划任务。

何时使用

  • 在调查需要使用 sysmon 检测恶意计划任务的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 已安装 Sysmon 并配置了以检测为重点的配置（例如 SwiftOnSecurity 或 Olaf Hartong）
  • 将 Windows 事件日志转发到 SIEM（Splunk、Elastic 或 Sentinel）
  • 已启用 PowerShell ScriptBlock Logging（事件 4104）

步骤

  1. 配置 Sysmon 记录事件 ID 1、11、12、13，并应用与任务相关的筛选器
  2. 为带可疑参数的 schtasks.exe /create 构建检测规则
  3. 将事件 4698（任务已注册）与 Sysmon 事件 1（进程创建）关联起来
  4. 狩猎从公共目录执行或使用编码命令的任务
  5. 对远程任务创建（schtasks /s）发出告警，以检测横向移动

预期输出

[CRITICAL] Suspicious Scheduled Task Detected
  Task: \Microsoft\Windows\UpdateCheck
  Command: powershell.exe -enc SQBuAHYAbwBrAGUALQBXAGUAYgBSAGU...
  Created By: DOMAIN\compromised_user
  Parent Process: cmd.exe (PID 4532)
  Source: \\192.168.1.50 (remote creation)
  MITRE: T1053.005 - Scheduled Task/Job

评论

支持 Markdown