search

Security-Experts-Community / open-xp-rules

Открытый репозиторий с правилами на языке eXtraction and Processing (XP)
Apache License 2.0
20 stars 44 forks source link

Детекты обхода Sysmon #363

Closed driverenok closed 5 months ago

driverenok commented 5 months ago

Раелизована пачка детектов техник эксплуатации Sysmon + фикс нормализации для EventID 14 Kernel-EventTracing

Сссылки на ресерчи:

  1. Ослепить Sysmon. Выводим мониторинг из строя максимально незаметно
  2. Ослепить Sysmon полностью. Манипулируем объектами ETW, чтобы обойти мониторинг
  3. Добиваем мониторинг. Как работают продвинутые атаки на Sysmon