关于 detecting-pass-the-hash-attacks
供安全分析人员开展 Pass the Hash 威胁狩猎与事件响应的技能。它通过 SIEM、EDR 和 Windows 遥测查询关联证据、验证发现，并形成调查与响应建议。
主要功能
- 01制定可验证的狩猎假设
- 02查询 SIEM 与 EDR 遥测
- 03跨数据源关联和验证发现
- 04关联攻击链与威胁行为
- 05记录结果并建议响应措施
适用场景
- 01根据威胁情报主动狩猎
- 02调查相关 EDR 或 SIEM 告警
- 03评估 Pass the Hash 事件影响
- 04开展周期性安全评估或紫队演练
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/detecting-pass-the-hash-attacks确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEassets/template.mdreferences/api-reference.mdstandards.mdworkflows.mdscripts/agent.pyprocess.py详细介绍
检测哈希传递攻击
适用场景
- 主动搜寻环境中检测哈希传递攻击的迹象时
- 威胁情报显示正在发生利用这些技术的活动时
- 在事件响应期间，评估与这些技术相关的失陷范围时
- EDR 或 SIEM 针对相关迹象触发警报时
- 定期安全评估和紫队演练期间
前提条件
- 具备进程和网络遥测功能的 EDR 平台（CrowdStrike、MDE、SentinelOne）
- 已接入相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
- 已部署并采用全面配置的 Sysmon
- 已启用 Windows 安全事件日志转发
- 用于 IOC 关联分析的威胁情报源
工作流
- 提出假设：根据威胁情报或 ATT&CK 差距分析，定义可验证的假设。
- 确定数据源：确定验证或证伪假设所需的日志和遥测数据。
- 执行查询：针对 SIEM 和 EDR 平台运行检测查询，收集相关事件。
- 分析结果：检查查询结果是否存在异常，并关联多个数据源的信息。
- 验证发现：通过上下文分析区分真正例和误报。
- 关联活动：将发现与更广泛的攻击链和威胁行为者 TTP 关联起来。
- 记录并报告：记录发现、更新检测规则并提出响应措施建议。
核心概念
| 概念 | 描述 |
|---|---|
| T1550.002 | 哈希传递 |
| T1550.003 | 票据传递 |
| T1078 | 有效账户 |
工具与系统
| 工具 | 用途 |
|---|---|
| CrowdStrike Falcon | EDR 遥测和威胁检测 |
| Microsoft Defender for Endpoint | 使用 KQL 进行高级搜寻 |
| Splunk Enterprise | 使用 SPL 查询分析 SIEM 日志 |
| Elastic Security | 检测规则和调查时间线 |
| Sysmon | 详细监控 Windows 事件 |
| Velociraptor | 收集终端制品并开展搜寻 |
| Sigma Rules | 跨平台检测规则格式 |
常见场景
- 场景 1：Mimikatz sekurlsa::pth 使用被盗的 NTLM 哈希
- 场景 2：Impacket psexec.py 使用哈希进行远程执行
- 场景 3：CrackMapExec 在多台主机上进行哈希喷洒
- 场景 4：通过哈希传递使用 WMI 进行横向移动
输出格式
Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1550.002
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
评论
支持 Markdown