omcyber10/Endpoint-Detection-and-Response-EDR-LimaCharlie

# 使用 LimaCharlie 的 Endpoint Detection & Response (EDR) 实验室     # 项目概述 本项目演示了一个使用 LimaCharlie 的 Endpoint Detection & Response (EDR) 动手实践实验室，旨在模拟和调查与 LSASS 凭据转储相关的可疑端点活动。 该实验室的目标是： - 部署和配置 LimaCharlie sensor - 生成端点遥测数据 - 模拟凭据转储活动 - 触发 EDR 检测 - 调查告警和可疑进程 - 将发现结果映射到 MITRE ATT&CK 技术 # 使用的技术 - LimaCharlie EDR - Windows 端点 - PowerShell - MITRE ATT&CK 框架 - Detection Engineering - Threat Hunting 概念 # EDR 实验室架构 ``` +----------------------+ | Windows Endpoint | +----------------------+ | v +----------------------+ | LimaCharlie Sensor | +----------------------+ | v +----------------------+ | Endpoint Telemetry | | Process Events | | PowerShell Activity | | Command-Line Logs | +----------------------+ | v +----------------------+ | Detection Engine | | Behavioral Rules | | IOC Matching | +----------------------+ | v +----------------------+ | Security Alerts | | Detection Events | +----------------------+ | v +----------------------+ | SOC Investigation | | Threat Analysis | | MITRE ATT&CK Mapping | +----------------------+ ``` # Sensor 部署 ## 下载 LimaCharlie Sensor  ## Sensor 安装  ## Agent 安装成功  # Sensor 管理 ## Sensor 列表  ## Sensor 概述  # 攻击模拟 ## PowerShell 准备  ## LSASS 转储模拟  执行了以下命令以模拟凭据转储行为： ``` rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump 1436 C:\Windows\Temp\lsass.dmp full ``` MITRE ATT&CK 技术： - T1003.001 — OS Credential Dumping: LSASS Memory # 检测与遥测 ## 检测仪表板  ## 检测事件  模拟期间触发的检测： - CommandLine 中包含 LSASS 转储关键字 - 潜在可疑的 Rundll32 活动 - 通过 Comsvcs.DLL 进行进程内存转储 - PowerShell 派生 Rundll32 # 调查报告  调查发现了使用 rundll32.exe 和 comsvcs.dll MiniDump 功能针对 LSASS 进程的可疑凭据转储行为。 观察到的指标： - 可疑的命令行参数 - 凭据转储行为 - PowerShell 派生 rundll32.exe - 创建 lsass.dmp - 高危 EDR 检测 # 展现的技能 - Endpoint Detection & Response (EDR) - Threat Detection - SOC 调查工作流 - Threat Hunting - PowerShell 分析 - Detection Engineering - MITRE ATT&CK 映射 - 安全遥测分析 # 项目成果 该实验室成功演示了 EDR 平台如何使用行为遥测和检测逻辑来检测、分析和调查可疑的凭据转储活动。 该项目还提供了 SOC 工作流、告警分类和端点调查技术的动手实践经验。

标签：AI合规, AMSI绕过, LimaCharlie, 凭证转储, 威胁检测, 安全运营中心, 端点检测与响应, 网络映射, 脱壳工具