Offensive SIEM

Técnicas práticas para utilizar o SIEM como uma ferramenta de descoberta ofensiva, ajudando os defensores a pensar como atacantes para fortalecer a segurança a partir de dentro.

Consultas

Veja acima - arquivo queries.md.

Continuará sendo atualizado quando necessário. A ideia é ter cobertura em camadas usando diferentes event.codes/event.providers.

• Consultas lançadas para PATHS ambientais, Drivers de Kernel e scripts de Logon/Inicialização etc durante fevereiro de 2026!
• Consultas lançadas para bibliotecas OpenSSL e Tarefas agendadas / Serviços com caminhos de binários ausentes durante março de 2026!

Gestão de Vulnerabilidades

Consultas para Gestão de Vulnerabilidades no arquivo: vulnerabilitymanagement.md

Dá uma ideia de como você pode enumerar

• Versão e status de build do sistema operacional Windows
• Regras de Redução de Superfície de Ataque (ASR) e encontrar configurações incorretas
• Exclusões do Windows Defender e encontrar configurações incorretas
• Regras do Windows Applocker e encontrar configurações incorretas

Avise-nos se/quando encontrar algo

Esperamos que você tenha gostado da apresentação. Avise-nos se você (eu diria quando você) encontrar vulnerabilidades usando este método. Uma mensagem simples como "uma das suas consultas capturou coisas boas".. já é mais que suficiente :) faça isso commitando no arquivo ping.md ou entre em contato conosco por meios alternativos! Ficaríamos felizes em compartilhar seu sucesso!

Informações gerais

O repositório irá ajudá-lo a ter uma mentalidade ofensiva. O repositório serve para compartilhar o material e as consultas que discutimos em nossa apresentação:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T setembro de 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon palestra atualizada junho de 2026 cobrindo algumas novas áreas ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

Incluímos as partes mais interessantes relacionadas a ACL e temos dicas & truques.

Confira os excelentes webinars sobre escalação de privilégios local no Windows e configurações incorretas de endpoint no Windows que irão ajudá-lo ainda mais. Há mais áreas a explorar.. Este é apenas o ponto de partida. Se você construir boas consultas em outras áreas - por favor compartilhe conosco para que mais pessoas na comunidade possam usá-las.

As consultas com a marca ⭐ são extra altamente relevantes. Os tópicos abaixo com ⭐ são conteúdo realmente bom.

Webinars

Oddvar Moes Windows Client Privilege Escalation ⭐

imperdível, especialmente a ACL para binários, serviços e tarefas agendadas.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

Tópico 2 (Software instalado/configurado de forma insegura) E Tópico 5 (Serviços E Tarefas Inseguras)

• https://go.spenceralessi.com/windowsmisconfigsreplay

senha: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

Outros relacionados a Escalação de Privilégios no Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

Entradas PATH e diretórios graváveis por usuários no PATH do sistema --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

Leitura interessante sobre quantos softwares mal configurados foram encontrados e você provavelmente encontrará a mesma proporção usando Offensive SIEM!

Exclusão arbitrária de arquivos --> Escalação de privilégios local

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU a partir do minuto: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

Outras operações de arquivos

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

Scripts de logon

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

Drivers de kernel e escalação de privilégios

• https://www.youtube.com/watch?v=U36hAneQeZM

OpenSSLs openssl.cnf e escalação de privilégios

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

Vulnerabilidade do instalador/desinstalador NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/