Threat Hunting Using Sysmon

درباره‌ی این دوره

این دوره به چه افرادی توصیه می‌شود؟

• کارشناسان شکار تهدیدات سایبری
• افراد علاقه‌مند به امنیت شبکه‌های مبتنی بر ویندوز
• مشاورین امنیت سایبری
• کارشناسان امنیت سایبری در سازمان‌ها و بخش SOC

برای حضور در این دوره چه دانش‌هایی باید داشته باشم؟

• برای حضور در این کارگاه نیاز است تا با زیرساخت‌های مبتنی بر مایکروسافت و سیستم‌عامل ویندوز آشنایی داشته باشید. مهم‌ترین پیش‌نیازهای دانشی و تجربی برای حضور در این دوره به شرح زیر است:
• آشنایی با سیستم‌عامل ویندوز
• آشنایی با مفاهیم حملات سایبری در زیرساخت شبکه
• آشنایی با مفاهیم شبکه و پروتکل‌ها

• Threat Hunting
  • Introduction to Threat, Dwell Time, Cyber
    • test
  • Security Problems
    • test2
  • Introduction to Threat Hunting
  • Threat Hunting People, Process & Tools
  • Technology
  • Threat Hunting Framework
  • Pyramid of Pain
  • Cyber Kill Chain
  • MITRE ATT&CK
• Sysmon Configuration
  • Rule create
  • Rule Group
  • filter events
  • Event Tags
• Sysmon Event IDs
  • Process creation
  • A process changed a file creation time
  • Network connection
  • Sysmon service state changed
  • Process terminated
  • Driver loaded
  • Image loaded
  • Create Remote Thread
  • Raw Access Read
  • Process Access
  • File Create
  • Registry Event (Object create and delete)
  • Registry Event (Value Set)
  • Registry Event (Key and Value Rename)
  • File Create Stream Hash
  • Service Configuration Change
  • Pipe Event (Pipe Created)
  • Pipe Event (Pipe Connected)
  • Wmi Event (Wmi Event Filter activity detected)
  • Wmi Event (Wmi Event Consumer activity detected)
  • Wmi Event (Wmi Event Consumer To Filter activity detected)
  • DNSEvent (DNS query)
  • File Delete (File Delete archived)
  • Clipboard Change (New content in the clipboard)
  • Process Tampering (Process image change)
• How Attackers Bypass Sysmon
  • Hooking API Calls
  • Sysmon Driver
• Sysmon Integration with SIEM
  • Dashboard Analysis
  • Multiple event id Dashboard
  • Attack Work Flow Analysis with dashboards
• Base Line Analysis
• Anomaly Analysis
• How to Hunt Real World APT Techniques with Sysmon
  • Cobalt
    • IMEWDBLD.exe
  • Hunting Lateral Movement Techniques
    • Name Pipe Pivoting
    • ATExec
    • WMI
  • Hunting Persistent Techniques
    • Scheduletask
    • COM Objects
    • Logon Script
    • Registry
    • Other Techniques
  • Credential Dump Hunting
    • PPLDump
    • Inject SSP
    • LSASS Dump
    • Other Techniques
  • More Hunting
    • NTLM relay
    • printnightmare
    • Microsoft.BackgroundIntelligentTransfer.Management.Interop.dll for BITS Activity
  • lolbas-project
    • IMEWDBLD.exe
    • Procdump(64).exe
    • PrintBrm.exe
  • APT 34 Malware Scenario
    • Winword – > vbe -> certreq.exe (download lolbin) -> msiexec -> python bunch of encoded script-> python backdoor + infostealer (persist via scheduled task)
  • Process Injection Hunting
  • Loading and Execute Command with System.automation.dll
• Develop Hunting Rules

گواهینامه‌ی دوره