thabosakonta-wq/sysmon-event-analysis-lab

Sysmon 事件分析实验室 一个专注于分析 Sysmon 事件、检测可疑活动、将检测结果映射到 MITRE ATT&CK 技术以及记录调查发现的网络安全项目。 概述 该项目展示了 SOC 分析师如何调查 Sysmon 生成的端点遥测数据。检测脚本能够识别可疑行为，例如 PowerShell 执行、进程创建活动以及出站网络通信。 功能特性 PowerShell 检测 检测 PowerShell 执行活动 识别潜在的可疑命令执行 映射至 ATT&CK T1059.001 进程创建检测 检测 Sysmon Event ID 1 监控进程执行活动 支持端点调查工作流 网络连接检测 检测 Sysmon Event ID 3 识别出站网络通信 支持威胁狩猎活动 调查报告 记录调查发现 记录严重性评估 将检测结果映射至 MITRE ATT&CK MITRE ATT&CK 覆盖范围 Sysmon 事件 ATT&CK 技术 描述 Event ID 1 T1059 Command and Scripting Interpreter Event ID 1 T1059.001 PowerShell Event ID 3 T1071 Application Layer Protocol 使用的技术 Sysmon Bash Linux Termux MITRE ATT&CK Git GitHub 学习成果 端点监控 检测工程 威胁狩猎 MITRE ATT&CK 映射 事件调查 安全监控 SOC 运营 仓库结构 Sysmon-Event-Analysis-Lab ├── detections ├── reports ├── sample_logs ├── screenshots └── README.md 未来增强计划 Sigma Rule 映射 Wazuh 集成 Sysmon 事件关联 威胁情报富化 自动化报告 ## 截图 ### PowerShell 检测  ### 进程创建检测  ### 网络连接检测  作者 Thabo Sakonta Microsoft Certified Security Operations Analyst (SC-200)

标签：Bash, IP 地址批量处理, OpenCanary, Sysmon, 安全运营, 应用安全, 扫描框架, 网络安全研究