重要提示： 本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。
以下为摘要预览，完整内容请查看 GitHub 原文。
Hunting For Living Off The Cloud Techniques
When to Use
When proactively hunting for indicators of hunting for living off the cloud techniques in the environment
After threat intelligence indicates active campaigns using these techniques
During incident response to scope compromise related to these techniques
When EDR or SIEM alerts trigger on related indicators
During periodic security assessments and purple team exercises
Prerequisites
EDR platform with process and network telemetry (CrowdStrike, MDE, SentinelOne)
SIEM with relevant log data ingested (Splunk, Elastic, Sentinel)
Sysmon deployed with comprehensive configuration
Windows Security Event Log forwarding enabled
Threat intelligence feeds for IOC correlation
Workflow
Formulate Hypothesis : Define a testable hypothesis based on threat intelligence or ATT&CK gap analysis.Identify Data Sources : Determine which logs and telemetry are needed to validate or refute the hypothesis.Execute Queries : Run detection queries against SIEM and EDR platforms to collect relevant events.Analyze Results : Examine query results for anomalies, correlating across multiple data so… 以下为摘要预览，完整内容请查看 GitHub 原文。
狩猎寄生于云端的技术
使用时机
在环境中主动狩猎与寄生于云端技术相关的指标时
在威胁情报表明存在使用这些技术的活跃行动时
在事件响应期间，评估与这些技术相关的入侵影响范围时
在 EDR 或 SIEM 告警因相关指标被触发时
在定期的安全评估和紫队演练期间
先决条件
具备进程和网络遥测能力的 EDR 平台（CrowdStrike、MDE、SentinelOne）
已接入相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
已部署并完成全面配置的 Sysmon
已启用 Windows 安全事件日志转发
用于 IOC 关联的威胁情报源
工作流程
构建假设 ：根据威胁情报或 ATT&CK 缺口分析，定义可测试的假设。识别数据源 ：确定需要哪些日志和遥测来验证或反驳假设。执行查询 ：在 SIEM 和 EDR 平台上运行检测查询，收集相关事件。分析结果 ：检查查询结果中的异常，并跨多个数据源进行关联。验证发现 ：通过上下文分析区分真实告警与误报。关联活动 ：将发现链接到更广泛的攻击链和威胁行为者 TTP。记录与报告 ：记录发现内容，更新检测规则，并建议响应措施。
关键概念
概念 描述 T1102 Web 服务 T1567 通过 Web 服务外泄数据 T1537 将数据传输至云账户
工具与系统
工具 用途 CrowdStrike Falcon EDR 遥测与威胁检测 Microsoft Defender for Endpoint 使用 KQL 进行高级狩猎 Splunk Enterprise 使用 SPL 查询进行 SIEM 日志分析 Elastic Security 检测规则与调查时间线 Sysmon 详细的 Windows 事件监控 Velociraptor 终端证据采集与狩猎 Sigma Rules 跨平台检测规则格式
常见场景
场景 1 ：通过 Discord webhook 进行命令投递的 C2场景 2 ：通过 Telegram bot API 进行数据外泄场景 3 ：恶意软件利用 Azure Functions 实现动态 C2场景 4 ：在被窃数据的 Google Docs 或 Notion 页面中进行暂存
输出格式
Hunt ID: TH-…
