关于 hunting-for-unusual-service-installations
用于调查 Windows 异常服务安装的安全技能，可解析 .evtx 日志中的 Event ID 7045，标记可疑路径和模式，并生成威胁狩猎报告，供 SOC 分析师和事件响应人员使用。
主要功能
- 01解析 .evtx 中的 Event ID 7045
- 02提取服务名称、路径、类型和账号
- 03标记可疑二进制路径和命令
- 04将服务与合法基线进行比对
- 05生成含风险评分和 ATT&CK 映射的报告
适用场景
- 01调查可能的恶意服务持久化
- 02狩猎异常 Windows 服务安装
- 03检查服务安装检测覆盖情况
- 04生成事件时间线和发现报告
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/hunting-for-unusual-service-installations确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
搜寻异常服务安装
概述
攻击者经常安装恶意 Windows 服务以实现持久化和权限提升（MITRE ATT&CK T1543.003 — Create or Modify System Process: Windows Service）。System 事件日志中的事件 ID 7045 会记录每一次新服务安装。本技能解析 .evtx 日志文件以提取服务安装事件，标记可疑的二进制路径（临时目录、PowerShell、cmd.exe、编码命令），并与已知攻击模式进行关联。
何时使用
- 在调查需要搜寻异常服务安装的安全事件时
- 在为该领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前置条件
- Python 3.9+ 及
python-evtx、lxml - Windows System 事件日志（.evtx）文件
- 对实时 System 事件日志的访问权限（可选，用于实时监控）
- 用于增强进程跟踪的 Sysmon 日志（可选）
步骤
- 解析 System.evtx 中的事件 ID 7045（新服务已安装）
- 提取服务名称、二进制路径、服务类型和账户
- 标记具有可疑二进制路径的服务（临时目录、编码命令）
- 检测基于 PowerShell 的服务创建模式
- 识别以 LocalSystem 运行且路径异常的服务
- 与已知合法服务基线进行交叉比对
- 生成带有 MITRE ATT&CK T1543.003 映射的威胁狩猎报告
预期输出
- 列出所有新服务安装的 JSON 报告，包含风险评分、可疑指标和修复建议
- 带有二进制路径分析的服务安装事件时间线
评论
支持 Markdown