abhinavkishor9/wazuh-threat-hunting-lab04-scheduled-task-detection

# wazuh-threat-hunting-lab05-scheduled-task-detection ## 目标 使用 Sysmon 检测 Windows 计划任务活动，并在 Wazuh Threat Hunting 中调查生成的遥测数据。 本实验演示了计划任务的创建如何出现在 Sysmon Event ID 1 日志中，以及 Wazuh 如何接收并显示这些事件以供调查。 ## 实验环境 ### 管理端 - Wazuh Manager ### 终端节点 - Windows 11 - Wazuh Agent - Sysmon ## MITRE ATT&CK | 技术 | 描述 | |-----------|-------------| | T1053.005 | Scheduled Task / Job: Scheduled Task | ## 使用的工具 - Wazuh - Sysmon - PowerShell - Windows Task Scheduler ## 验证步骤 ### 验证 Wazuh Agent ``` Get-Service WazuhSvc ``` 状态应为： ``` Running ``` ### 验证 Sysmon ``` Get-Service Sysmon64 ``` 状态应为： ``` Running ``` ### 验证 Sysmon 日志记录 ``` Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -MaxEvents 5 ``` ## 创建计划任务 ``` schtasks /create /tn "WazuhLabTask" /tr "notepad.exe" /sc once /st 23:59 ``` 预期输出： ``` SUCCESS: The scheduled task "WazuhLabTask" has successfully been created. ``` ## 验证计划任务 ``` schtasks /query /tn "WazuhLabTask" ``` ## 验证 Sysmon Event ID 1 ``` Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -FilterXPath "*[System[(EventID=1)]]" -MaxEvents 20 | Where-Object {$_.Message -match "schtasks.exe"} ``` ## 审查事件详情 观察到的重要字段： - Process Image - Command Line - User - Parent Process - Process GUID - Hashes - Integrity Level ## 在 Wazuh Threat Hunting 中验证 搜索： ``` schtasks.exe ``` 审查： - 事件详情 - Process Image - Command Line - 事件时间戳 - Agent 名称 - 规则信息 ## 检测总结 检测来源： - Sysmon Event ID 1 观察到的活动： - 计划任务创建 - 计划任务查询 MITRE 技术： - T1053.005 结果： - 在 Wazuh Threat Hunting 中成功检测 ## 学习成果 - 检测计划任务活动 - 了解 Sysmon Event ID 1 - 搜寻 Windows 持久化技术 - 在 Wazuh 中调查进程元数据 - 将发现映射到 MITRE ATT&CK

标签：AI合规, Sysmon, Wazuh, 安全实验环境