Offensive SIEM

Techniques pratiques pour utiliser le SIEM comme outil de découverte offensive, aidant les défenseurs à penser comme des attaquants afin de renforcer la sécurité de l'intérieur.

Requêtes

Voir ci-dessus - fichier queries.md.

Sera mis à jour au besoin. L'idée est d'avoir une couverture couche par couche en utilisant différents event.codes/event.providers.

• Requêtes publiées pour les PATHS environnementaux, les pilotes Kernel et les scripts Logon/Startup etc. en février 2026 !
• Requêtes publiées pour les bibliothèques OpenSSL et les tâches planifiées / services avec des chemins de binaires manquants en mars 2026 !

Gestion des vulnérabilités

Requêtes pour la gestion des vulnérabilités dans le fichier : vulnerabilitymanagement.md

Vous donne une idée de la façon dont vous pouvez énumérer

• La version et le build du système d'exploitation Windows
• Les règles Attack Surface Reduction (ASR) et trouver les mauvaises configurations
• Les exclusions Windows Defender et trouver les mauvaises configurations
• Les règles Windows Applocker et trouver les mauvaises configurations

Contactez-nous si/quand vous trouvez quelque chose

Nous espérons que la présentation vous a plu. Contactez-nous si vous (je dirais quand vous) trouvez des vulnérabilités en utilisant cette méthode. Un simple message comme « une de vos requêtes a attrapé du bon stuff ».. est plus que suffisant :) faites-le en commitant dans le fichier ping.md ou contactez-nous par d'autres moyens ! Nous serions heureux de partager votre succès !

Informations générales

Le repo vous aidera à adopter un état d'esprit offensif. Le repo sert à partager le matériel et les requêtes dont nous avons parlé dans notre présentation :

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T septembre 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon présentation mise à jour juin 2026 couvrant de nouveaux domaines ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

Nous avons inclus les parties les plus intéressantes liées aux ACL et avons des tips & tricks.

Découvrez les excellents webinaires sur l'escalade de privilèges locale Windows et les mauvaises configurations des endpoints Windows qui vous aideront davantage. Il y a d'autres domaines à explorer.. Ce n'est que le point de départ. Si vous construisez de bonnes requêtes dans d'autres domaines - partagez-les avec nous afin que davantage de personnes dans la communauté puissent les utiliser.

Les requêtes marquées d'un ⭐ sont extrêmement pertinentes. Les sujets ci-dessous marqués d'un ⭐ sont vraiment du bon contenu.

Webinaires

Oddvar Moes Windows Client Privilege Escalation ⭐

un incontournable, en particulier les ACL pour les binaires, services et tâches planifiées.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

Sujet 2 (Logiciels installés/configurés de manière non sécurisée) Et Sujet 5 (Services et tâches non sécurisés)

• https://go.spenceralessi.com/windowsmisconfigsreplay

mot de passe : P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

Autres ressources liées à l'escalade de privilèges Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

Entrées PATH et répertoires inscriptibles par l'utilisateur dans le PATH système --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

Lecture intéressante sur le nombre de logiciels mal configurés trouvés et vous trouverez probablement le même ratio en utilisant Offensive SIEM !

Suppression arbitraire de fichiers --> Escalade de privilèges locale

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU à partir de la minute : 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

Autres opérations sur les fichiers

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

Scripts de connexion

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

Pilotes Kernel et escalade de privilèges

• https://www.youtube.com/watch?v=U36hAneQeZM

OpenSSLs openssl.cnf et escalade de privilèges

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

Vulnérabilité de l'installateur/désinstallateur NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/