mcpField
H
hunting-for-process-injection-techniques

hunting-for-process-injection-techniques

github.com/mukul975安全35.2k58 次安装8 周前更新
代码仓库

关于 hunting-for-process-injection-techniques

面向安全分析师的流程注入狩猎技能，提供基于 Sysmon 事件的检测、关系分析和风险评估步骤，并生成带 MITRE ATT&CK 子技术映射的报告。

主要功能

  1. 01解析 Sysmon JSON 事件
  2. 02检测可疑远程线程创建
  3. 03分析进程访问权限
  4. 04构建进程关系图
  5. 05评分并生成狩猎报告

适用场景

  1. 01调查流程注入相关安全事件
  2. 02编写检测规则和狩猎查询
  3. 03评估相关监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-process-injection-techniques

安装后在 Claude Code 中输入/hunting-for-process-injection-techniques确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

狩猎进程注入技术

概述

进程注入（MITRE ATT&CK T1055）允许攻击者在另一个进程的地址空间中执行代码，从而实现防御规避和权限提升。本技能通过 Sysmon 事件 ID 8（CreateRemoteThread）、事件 ID 10（具有可疑访问权限的 ProcessAccess），以及分析源-目标进程关系来区分合法与恶意注入，从而检测注入技术。

何时使用

  • 在调查需要狩猎进程注入技术的安全事件时
  • 在为此领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 已安装 Sysmon 并启用了事件 ID 8 和 10
  • 进程创建日志（Sysmon 事件 ID 1 或 Windows 4688）
  • Python 3.8+ 及标准库
  • JSON 格式的 Sysmon 事件日志

步骤

  1. 解析 Sysmon 事件 — 从 JSON 日志文件中摄取事件 ID 1、8 和 10
  2. 检测 CreateRemoteThread — 标记具有可疑源-目标进程对的事件 ID 8
  3. 分析 ProcessAccess 权限 — 识别具有危险访问掩码（PROCESS_VM_WRITE、PROCESS_CREATE_THREAD）的事件 ID 10
  4. 构建进程关系图 — 映射源到目标的注入关系
  5. 过滤已知合法进程对 — 排除已知的良性注入模式（AV、调试器、系统进程）
  6. 为注入严重程度评分 — 根据源进程、目标进程和访问权限应用风险评分
  7. 生成狩猎报告 — 生成带有 MITRE 子技术映射的结构化报告

预期输出

  • 检测到的注入事件及其严重程度评分的 JSON 报告
  • 进程注入关系图
  • MITRE ATT&CK 子技术映射（T1055.001-T1055.012）
  • 误报排除建议

评论

支持 Markdown