Offensive SIEM

Praktische Techniken zur Nutzung von SIEM als offensives Discovery-Tool, um Verteidigern zu helfen, wie Angreifer zu denken und die Sicherheit von innen heraus zu stärken.

Abfragen

Siehe oben - queries.md Datei.

Wird bei Bedarf weiter aktualisiert. Die Idee ist, eine schichtweise Abdeckung unter Verwendung verschiedener event.codes/event.providers zu erreichen.

• Veröffentlichte Abfragen für Umgebungs-PATHS, Kernel-Treiber und Anmelde-/Startup-Skripte etc. im Februar 2026!
• Veröffentlichte Abfragen für OpenSSL-Bibliotheken und geplante Aufgaben / Dienste mit fehlenden Binärpfaden im März 2026!

Vulnerability Management

Abfragen für Vulnerability Management in der Datei: vulnerabilitymanagement.md

Gibt Ihnen eine Idee, wie Sie aufzählen können

• Windows-Betriebssystemversion und Build-Status
• Attack Surface Reduction (ASR)-Regeln und Finden von Fehlkonfigurationen
• Windows Defender-Ausschlüsse und Finden von Fehlkonfigurationen
• Windows Applocker-Regeln und Finden von Fehlkonfigurationen

Melden Sie sich bei uns, wenn Sie etwas finden

Wir hoffen, dass Ihnen die Präsentation gefallen hat. Melden Sie sich bei uns, wenn Sie (ich würde sagen, wenn Sie) Schwachstellen mit dieser Methode finden. Eine einfache Nachricht wie „eine Ihrer Abfragen hat gutes Zeug gefunden“.. ist mehr als genug :) tun Sie es, indem Sie zur ping.md-Datei beitragen oder uns auf alternativen Wegen kontaktieren! Wir würden uns freuen, Ihren Erfolg zu teilen!

Allgemeine Informationen

Das Repo wird Ihnen helfen, eine offensive Denkweise zu entwickeln. Das Repo dient dazu, das Material und die Abfragen zu teilen, über die wir in unserer Präsentation gesprochen haben:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T September 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon aktualisierter Vortrag Juni 2026, der einige neue Bereiche abdeckt ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

Wir haben die interessantesten ACL-bezogenen Teile aufgenommen und haben Tipps & Tricks.

Schauen Sie sich die herausragenden Webinare über Windows Local Privilege Escalation und Windows Endpoint Misconfigurations an, die Ihnen weiterhelfen werden. Es gibt weitere Bereiche, die untersucht werden sollten.. Dies ist nur der Ausgangspunkt. Wenn Sie gute Abfragen in anderen Bereichen erstellen - bitte teilen Sie sie mit uns, damit mehr in der Community sie nutzen können.

Die Abfragen mit ⭐-Markierung sind besonders hochrelevant. Die untenstehenden Themen mit ⭐ sind wirklich guter Inhalt.

Webinare

Oddvar Moes Windows Client Privilege Escalation ⭐

ein Muss zum Anschauen, speziell die ACL für Binärdateien, Dienste und geplante Aufgaben.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

Thema 2 (Unsicher installierte/konfigurierte Software) Und Thema 5 (Unsichere Dienste und Aufgaben)

• https://go.spenceralessi.com/windowsmisconfigsreplay

Passwort: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

Andere verwandte Themen zu Windows Privilege Escalation.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

PATH-Einträge und benutzerbeschreibbare Verzeichnisse im System-PATH --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

Interessante Lektüre darüber, wie viele fehlkonfigurierte Software gefunden wurde und Sie werden wahrscheinlich dasselbe Verhältnis mit Offensive SIEM finden!

Arbitrary File deletion --> Local privilege escalation

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU ab Minute: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

Andere Dateioperationen

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

Anmeldeskripte

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

Kernel-Treiber und Privilege Escalation

• https://www.youtube.com/watch?v=U36hAneQeZM

OpenSSLs openssl.cnf und Privilege Escalation

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

NSIS Installer/Uninstaller-Schwachstelle

• https://blog.amberwolf.com/blog/2026/april/next-next-system/