Sicherheitslisten für SOC/DFIR-Erkennungen

🐾 Threat Hunting:

• ThreatHunting keywords Site
• ThreatHunting keywords Lists
• ThreatHunting Yara rules

ThreatHunting-Suchen

• Windows-Dienste-Suchen
• User-Agents-Suchen
• DNS-over-HTTPS-Suchen
• Suchen nach verdächtigen TLDs
• HijackLibs-Suchen
• Phishing- & DNSTWIST-Suchen
• Suchen zu Browser-Erweiterungen
• C2, das sich in aller Offenheit versteckt
• HTML-Smuggling-Artefakte
• Suchen zu PSEXEC und ähnlichen Tools
• Erkennung von Time Slipping
• Verdächtige Named Pipes

📂 Meine Erkennungslisten

• 📋 Listen: https://github.com/mthcht/awesome-lists/tree/main/Lists
• 🕵️‍♂️ ThreatHunting-Leitfäden: https://mthcht.medium.com/list/threat-hunting-708624e9266f
• 🚰 Verdächtige Named Pipes: suspicious_named_pipe_list.csv
• 🌐 Verdächtige TLDs (automatisch aktualisiert): [suspicious_TLDs]
• 🌐 Verdächtige ASNs (automatisch aktualisiert): [suspicious ASNs]
• 🌐 FYI Maxmind GeoIP-Datenbank (automatisch aktualisiert): GeoIP DB
• 🆔 Verdächtige OAuth-App-IDs: OauthSentry
• 🔧 Verdächtige Windows-Dienste: suspicious_windows_services_names_list.csv
• ⏲️ Verdächtige Windows-Aufgaben: suspicious_windows_tasks_list.csv
• 🚪 Verdächtige Zielports: suspicious_ports_list.csv
• 🛡️ Verdächtige Firewall-Regeln: suspicious_windows_firewall_rules_list.csv
• 🆔 Verdächtige User-Agents: suspicious_http_user_agents_list.csv
• 🔏 Verdächtige CERT-Signer: [suspicious CERTS]
• 📇 Verdächtige USB-IDs: suspicious_usb_ids_list.csv
• 🏷️ Verdächtige Mutex-Namen: suspicious_mutex_names_list.csv
• 🔢 Verdächtige MAC-Adressen: suspicious_mac_address_list.csv
• 📛 Verdächtige Hostnamen: suspicious_hostnames_list.csv
• 🌐 Verdächtige Browser-Erweiterungen: Browser-Erweiterungen
• 📧 Microsoft-App-IDs-Liste - BEC-Erkennung microsoft_apps_list.csv
• 🧮 Metadaten von Executables: executables_metadata_informations_list.csv
• 🕸️ DNS-over-HTTPS-Serverliste: dns_over_https_servers_list.csv
• 🕸️ Liste der Dynamic-DNS-Domains: dyndns_list.csv
• 🪝 Phishing-Listen: Phishing-Domains und -URLs
• 🕸️ Domains : [sinkholed servers]
• 🕳️ Sinkholed Domains : sinkholed_domains.csv
• 🕳️ Sinkholed-Website: SINKHOLED
• 📚 Hijacklibs (automatisch aktualisiert): hijacklibs_list.csv
• 🌐 TOR-Node-Listen (automatisch aktualisiert): [TOR]
• 🛠️ LOLDriver-Liste (automatisch aktualisiert): loldrivers_only_hashes_list.csv
• 🛠️ Liste schädlicher Bootloader (automatisch aktualisiert): malicious_bootloaders_only_hashes_list.csv
• 📜 Liste schädlicher SSL-Zertifikate (automatisch aktualisiert): ssl_certificates_malicious_list.csv
• 🖥️ RMM-Erkennung: [RMM]
• 👤🔑 Wichtige Rollen, Gruppen und Berechtigungen für AD/EntraID/AWS/Graph: [permissions]
• 💻🔒 Bekannte Ransomware-Dateierweiterungen: ransomware_extensions_list.csv
• 💻🔒 Bekannte Ransomware-Dateinamen und Lösegeldnotizen: ransomware_notes_list.csv
• 📝 Windows-ASR-Regeln: windows_asr_rules.csv
• 🌐 DNSTWIST-Listen (automatisch aktualisiert): DNSTWIST-Standarddomains + Skript
• 🌍 VPN IP-Adresslisten (automatisch aktualisiert):
  • 🛡️ NordVPN: nordvpn_ips_list.csv
  • 🛡️ ProtonVPN: protonvpn_ip_list.csv
  • 🛡️ SurfShark: surfshark_vpn_servers_domains_and_ips_list.csv