Listas de seguridad para detecciones SOC/DFIR

🐾 Caza de amenazas:

📂 Mis listas de detección

📋 Listas: https://github.com/mthcht/awesome-lists/tree/main/Lists
🕵️‍♂️ Guías de ThreatHunting: https://mthcht.medium.com/list/threat-hunting-708624e9266f
🚰 Named pipes sospechosos: suspicious_named_pipe_list.csv
🌐 TLD sospechosos (actualizados automáticamente): [suspicious_TLDs]
🌐 ASN sospechosos (actualizados automáticamente): [suspicious ASNs]
🌐 Base de datos GeoIP de Maxmind (actualizada automáticamente): GeoIP DB
🆔 IDs de aplicaciones OAuth sospechosas: OauthSentry
🔧 Servicios de Windows sospechosos: suspicious_windows_services_names_list.csv
⏲️ Tareas de Windows sospechosas: suspicious_windows_tasks_list.csv
🚪 Puertos de destino sospechosos: suspicious_ports_list.csv
🛡️ Reglas de firewall sospechosas: suspicious_windows_firewall_rules_list.csv
🆔 User-agents sospechosos: suspicious_http_user_agents_list.csv
🔏 Firmantes de certificados sospechosos: [suspicious CERTS]
📇 IDs USB sospechosas: suspicious_usb_ids_list.csv
🏷️ Nombres de mutex sospechosos: suspicious_mutex_names_list.csv

Actualizo regularmente la mayoría de estas listas después de cada herramienta que analizo en mi proyecto de palabras clave de detección

Otras listas

🛡️ DFIR:

🚫 Fuentes de IOC/Listas negras:

🐙 Github

Más listas de github

🖥️ Relacionado con SIEM/SOC/PurpleTeam:

- [EDR Telemetry](https://github.com/tsale/EDR-Telemetry) - [PurpleTeam Scripts](https://github.com/mthcht/Purpleteam) - [Awesome-SOC](https://github.com/cyb3rxp/awesome-soc) - [Awesome SOC analyst](https://github.com/st0pp3r/awesome-soc-analyst) - [Threat-Hunting with Splunk](https://github.com/mthcht/ThreatHunting-Keywords) - [Listas de detección](https://github.com/mthcht/awesome-lists/Lists) - [PurpleTeam atomics](https://github.com/redcanaryco/atomic-red-team)

📊 TI TTP/Marco/Modelo/Seguimiento

🕵️‍♂️ Investigación

📊 Comprobaciones de TI

🔬 Sandbox / Emulación

🧩 Manipulación de datos

📡 Recursos de detección

🌐 Noticias de seguridad

- [Fuente del blog de Adam Chester](https://blog.xpnsec.com/rss.xml) - [fuente apt de ahnlab](https://asec.ahnlab.com/en/category/apt-en/feed/) - [fuente cert de ahnlab](https://asec.ahnlab.com/en/category/cert-en/feed) - [fuente phishing de ahnlab](https://asec.ahnlab.com/en/category/phishing-scam-en/feed) - [fuente trend de ahnlab](https://asec.ahnlab.com/en/category/trend-en/feed) - [Fuente del blog de Akamai](https://feeds.feedburner.com/akamai/blog) - [fuente del blog de análisis de malware de Any.run](https://any.run/cybersecurity-blog/category/malware-analysis/feed/) - [Fuente del blog de Avast](https://blog.avast.com/rss.xml) - [badsectorlabs Last week in security - Redteam](https://blog.badsectorlabs.com/feeds/all.atom.xml) - [fuente del blog de bi-zone](https://medium.com/feed/@bi-zone) - [fuente de los laboratorios de bitdefender](https://www.bitdefender.com/nuxt/api/en-us/rss/labs/) - [fuente del blog de binarydefense](https://www.binarydefense.com/feed/) - [Blog de Blackberry](https://blogs.blackberry.com/en/home) - [Fuente de Bleepingcomputer](https://www.bleepingcomputer.com/feed/) - [fuente de bleepingcomputer](https://www.bleepingcomputer.com/feed/) - [fuente del blog de broadcom](https://sed-cms.broadcom.com/rss/v1/blogs/rss.xml) - [Alertas de CERT FR](https://www.cert.ssi.gouv.fr/alerte/) - [Avisos de CERT FR](https://www.cert.ssi.gouv.fr/avis/) - [fuente de CERT LV](https://cert.lv/en/feed/rss/all) - [fuente de CERT PL](https://cert.pl/en/rss.xml) - [fuente de CERT SE](https://www.cert.se/feed.rss) - [fuente de CERT SI](https://www.cert.si/en/category/news/feed/) - [fuente de CERT UA](https://cert.gov.ua/api/articles/rss) - [CERT-FR](https://www.cert.ssi.gouv.fr/) - [fuente de Checkpoint Research](https://research.checkpoint.com/feed) - [fuente de CIRT bd](https://www.cirt.gov.bd/feed/) - [fuente de noticias de CISA](https://www.cisa.gov/cybersecurity-advisories/all.xml) - [Noticias de CISA](https://www.cisa.gov/news-events/news) - [Cisco Talos](https://www.talosintelligence.com/) - [investigación de claroty team82](https://claroty.com/team82/research/) - [fuente de seguridad de Cloudfare](https://blog.cloudflare.com/tag/security/rss) - [Fuente de Clément Notin](https://clement.notin.org/feed.xml) - [blog de operaciones contra adversarios de crowdstrike](https://www.crowdstrike.com/en-us/blog/category.counter-adversary-operations/) - [blog de deepinstinct](https://www.deepinstinct.com/blog) - [detect.fyi](https://detect.fyi/) - [Detection engineering weekly](https://www.detectionengineering.net/) - [Noticias semanales de DFIR](https://thisweekin4n6.com/) - [fuente de noticias semanales de DFIR](https://thisweekin4n6.wordpress.com/feed/) - [fuente de alertas de virus de drweb](https://news.drweb.com/rss/get/?c=9) - [inteligencia de amenazas de eclecticiq](https://www-eclecticiq-com.sandbox.hs-sites.com/blog?type=intelligence-research#overview) - [blog de los laboratorios de seguridad de Elastic](https://www.elastic.co/security-labs) - [fuente del blog de los laboratorios de seguridad de elastic](https://www.elastic.co/security-labs/rss/feed.xml) - [Blog de EricaZelic](https://ericazelic.medium.com/) - [blog del laboratorio de forcepoint](https://www.forcepoint.com/blog/x-labs) - [fuente de inteligencia de amenazas de genians](https://www.genians.co.kr/blog/threat_intelligence/rss.xml) - [fuente de inteligencia de amenazas de gi7w0rm](https://medium.com/feed/@gi7w0rm) - [fuente del blog de Google Project Zero](https://googleprojectzero.blogspot.com/feeds/posts/default?alt=rss) - [fuente de inteligencia de amenazas de Google](https://feeds.feedburner.com/threatintelligence/pvexyqv7v0v) - [Google Threat Intelligence](https://cloud.google.com/blog/topics/threat-intelligence) - [fuente de análisis de amenazas de Google](https://blog.google/threat-analysis-group/rss/) - [fuente de Group-IB](https://blog.group-ib.com/rss.xml) - [Fuente de HackerNews](https://feeds.feedburner.com/TheHackersNews) - [fuente del laboratorio de harfanglab](https://harfanglab.io/insidethelab/feed/) - [fuente del blog de hexacorn](http://www.hexacorn.com/blog/feed/) - [Fuente de horizon3](https://www.horizon3.ai/feed/) - [blog de hunt.io](https://hunt.io/blog) - [fuente del blog de huntress](https://www.huntress.com/blog/rss.xml) - [fuente de IC3 CSA](https://www.ic3.gov/CSA/rss) - [Fuente de noticias de Infostealers Hub](https://www.infostealers.com/learn-info-stealers/feed/) - [fuente de informes de infostealers](https://www.infostealers.com/info-stealers-reports/feed/) - [fuente de Intrinsec](https://www.intrinsec.com/feed/) - [fuente de isc sans edu](https://isc.sans.edu/rssfeed.xml) - [fuente de JPCERT](https://blogs.jpcert.or.jp/en/atom.xml) - [JPCERT](https://www.jpcert.or.jp/english/) - [fuente de krebsonsecurity](https://krebsonsecurity.com/feed/) - [fuente del blog de malwarebytes](https://www.malwarebytes.com/blog/feed/index.xml) - [fuente de malwaretech](https://www.malwaretech.com/feed) - [Blog de Mauricio Velazco](https://medium.com/@mvelazco) - [fuente de los laboratorios de mcafee](https://www.mcafee.com/blogs/other-blogs/mcafee-labs/feed/) - [Blog de Michael Haag](https://haggis-m.medium.com/) - [fuente del blog de seguridad de Microsoft](https://www.microsoft.com/en-us/security/blog/feed/) - [Centro de respuesta a incidentes ninja de Microsoft](https://techcommunity.microsoft.com/blog/microsoftsecurityexperts/welcome-to-the-microsoft-incident-response-ninja-hub/4243594) - [fuente de inteligencia de amenazas de Microsoft](https://www.microsoft.com/en-us/security/blog/topic/threat-intelligence/feed) - [investigación de amenazas de morphisec](https://blog.morphisec.com/topic/threat-research) - [fuente de investigación de NCC Group](https://research.nccgroup.com/feed/) - [blog de investigación y seguridad de nccgroup](https://www.nccgroup.com/us/research-blog/?resource=18345&category=18146#hub) - [fuente de noticias de NCSC](https://feeds.english.ncsc.nl/news.rss) - [CVE de NIST](https://nvd.nist.gov/vuln/search/results?isCpeNameSearch=false&results_type=overview&form_type=Basic&search_type=all&startIndex=0) - [fuente de perspectivas de ciberseguridad de NIST](https://www.nist.gov/blogs/cybersecurity-insights/rss.xml) - [Offensive Research - DSAS by INJECT](https://blog.injectexp.dev/) - [Inteligencia de orangecyberdefense](https://www.orangecyberdefense.com/global/blog?tx_solr%5Bfilter%5D%5B0%5D=tags%3AIntelligence-led+Security) - [fuente de investigación e inteligencia de amenazas de outpost24](https://outpost24.com/blog/category/research-and-threat-intel/feed/) - [información sobre amenazas de proofpoint](https://www.proofpoint.com/us/blog/threat-insight#) - [fuente de investigación de amenazas de Qualys](https://blog.qualys.com/vulnerabilities-threat-research/feed) - [fuente de redcanary](https://www.redcanary.co/feed/) - [investigación de amenazas de reversinglabs](https://www.reversinglabs.com/blog/tag/threat-research) - [blog de sans](https://www.sans.org/blog/) - [inteligencia de amenazas de security.com](https://www.security.com/threat-intelligence) - [fuente apt de securityaffairs](https://securityaffairs.com/category/apt/feed) - [fuente de securityweek](https://www.securityweek.com/feed/) - [fuente de ataques dirigidos apt de securlist](https://securelist.com/threat-category/apt-targeted-attacks/feed/) - [Blog de Sekoia](https://blog.sekoia.io/) - [fuente del blog de Sekoia](https://blog.sekoia.io/feed/) - [fuente de los laboratorios de SentinelOne](https://www.sentinelone.com/labs/feed/) - [blog técnico de seqrite](https://www.seqrite.com/blog/category/technical/) - [fuente del blog de Simone Kraus](https://medium.com/feed/@simone.kraus) - [fuente de investigación de amenazas de sophos](https://news.sophos.com/en-us/category/threat-research/feed/) - [fuente de specterops](https://posts.specterops.io/feed) - [Blog de investigación de Splunk](https://www.splunk.com/en_us/blog/author/secmrkt-research.html) - [fuente de noticias de Sybersecyrity](https://cybersecuritynews.com/feed/) - [fuente de Talos](https://feeds.feedburner.com/feedburner/Talos) - [Blog de tenable](https://medium.com/tenable-techblog) - [fuente de The HackerNews](https://feeds.feedburner.com/TheHackersNews) - [fuente de thedfirreport](https://thedfirreport.com/feed/) - [fuente del blog de threat connect](https://threatconnect.com/blog/feed/) - [blog de threatlabz zscaler](https://threatlabz.zscaler.com/blogs) - [fuente de threatpost](https://threatpost.com/feed/) - [fuente de seguridad de trendmicro](http://feeds.trendmicro.com/TrendMicroSimplySecurity) - [fuente del blog de Trustwave](https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rss.xml) - [Twitter](https://twitter.com/home) - [fuente de Unit42](http://feeds.feedburner.com/Unit42) - [fuente de Unit42](https://unit42.paloaltonetworks.com/feed/) - [fuente de virusbulletin](https://www.virusbulletin.com/rss) - [virusbulletin](https://www.virusbulletin.com/virusbulletin/) - [fuente del blog de volexity](https://www.volexity.com/blog/feed/) - [fuente de welivesecurity](https://www.welivesecurity.com/en/rss/feed/) - [boletín de tl;dr sec](https://tldrsec.com/)

📺 Canales de Youtube/Twitch

🎙️ Podcasts

💬 Canales de Discord /Slack

📚 Formación

DFIR

13cubed - Investigating Windows Endpoints 13cubed.com -windows endpoints
13cubed - Investigating Windows Memory 13cubed.com -windows memory
13cubed - Investigating Linux Devices 13cubed.com - linux
SANS: FOR500
SANS: FOR508
Defensive-security: Linux-live-forensics
@0gtweet - Curso de forensia: Mastering Windows Forensics
@DebugPrivilege : Curso gratuito de depuración forense InsightEngineering
Retos:
- Imágenes de discos de Arsenal Recon para DFIR: publicly-accessible-disk-images
- @inversecos - Laboratorios de emulación de APT: xintra
- @TheDFIRReport : Laboratorios con registros de los informes existentes dfir-labs
- @ACEresponder: Cursos con explicaciones detalladas y laboratorios aceresponder.com
- @binaryz0ne: Retos de DFIR con Datasets + Linux forensic workshop

SOC

📚 Libros

DFIR

#### Análisis de malware - [Análisis práctico de malware: la guía práctica para diseccionar software malicioso](https://www.amazon.com/Practical-Malware-Analysis-Hands-Dissecting/dp/1593272901) - [El arte del análisis de memoria: detección de malware y amenazas en la memoria de Windows, Linux y Mac](https://www.amazon.com/Art-Memory-Forensics-Detecting-Malware/dp/1118825098) - [Malware evasivo: una guía de campo para detectar, analizar y derrotar amenazas avanzadas](https://www.amazon.fr/Evasive-Malware-Understanding-Deceptive-Self-Defending/dp/1718503261)

SOC

Inmersión profunda

Explotación

IA

Aprendizaje automático práctico

📚 Sitios de conocimiento

🧪 Laboratorio

📦 Otros

Creación de contenido

Creador de animaciones de ataques - aceresponder

🏷️ Marcadores

⭐ Marcadores con todas mis listas para importar en tu navegador (actualizados automáticamente) Actualizar Marcadores

awesome-lists

Más Populares

Ofensivo

Retos

RE / Análisis de malware / Inmersión profunda