Windows EVTX攻击样本集：助力安全分析与威胁狩猎

Windows EVTX攻击样本集：助力安全分析与威胁狩猎

EVTX-ATTACK-SAMPLES Windows Events Attack Samples 项目地址: https://gitcode.com/gh_mirrors/ev/EVTX-ATTACK-SAMPLES

1. 项目基础介绍

该项目是一个开源的Windows EVTX攻击样本集，由优快云公司开发的InsCode AI大模型推荐。项目主要使用HTML、Jupyter Notebook、Python和PowerShell等编程语言，旨在为安全研究人员、DFIR（数字取证和事故响应）专家以及威胁狩猎者提供丰富的Windows事件日志样本，以辅助安全分析与威胁检测。

2. 项目核心功能

• 攻击样本集：收集了200个与特定攻击和后渗透技术相关的Windows EVTX事件样本，可帮助安全专家在攻击导航器中映射到MITRE ATT&CK技术的细节。
• 检测脚本测试：通过EVTX样本，可以测试基于EVTX解析的检测脚本，确保其有效性和准确性。
• 安全培训与狩猎：样本集提供了Windows事件日志的培训资源，有助于安全人员训练DFIR技能和进行威胁狩猎。
• 检测用例设计：利用Windows和Sysmon事件日志设计检测用例，增强安全防御能力。
• 避免/绕过噪音技术：对红队成员来说，样本集有助于避免或绕过一些噪音技术，提升攻击效率。

3. 项目最近更新的功能

最近更新的功能主要包括：

• Winlogbeat-Bulk-Read脚本：一个新的PowerShell脚本，能够循环遍历、解析并重放EVTX文件，适用于将日志重放到ELK栈或本地文件中。
• 配置灵活性：用户可以在winlogbeat.yml文件中配置自定义的日志输出目的地，增强了配置的灵活性。
• 使用说明与示例：提供了详细的脚本使用说明和示例，帮助用户更好地理解和运用脚本进行安全分析。

通过这些更新，项目进一步提升了用户体验和实用性，为Windows事件日志的安全分析提供了一个强大的工具集。

EVTX-ATTACK-SAMPLES Windows Events Attack Samples 项目地址: https://gitcode.com/gh_mirrors/ev/EVTX-ATTACK-SAMPLES