检测工程笔记与分析

此仓库记录了基于实验室测试、日志分析和真实SOC工作流的实操检测研究。

重点在于攻击技术在实际日志中的呈现方式、哪些检测逻辑在实践中有效、哪些会失效，以及误报在何处产生。所有内容均从防御视角编写，面向分析师和检测工程师。

这不是攻击性工具或漏洞利用开发。

此仓库包含的内容

针对Windows系统上DLL劫持与侧载活动的分析与检测笔记。

涵盖的主题：

已识别的常见误报：

重点在于将预期的应用程序行为与真正需要调查的活动区分开来。

研究编码后的PowerShell命令如何在日志中显现，以及攻击者如何绕过简单的检测。

包括：

所有测试均使用现实遥测数据，而非理想化的企业环境。

有效的检测很少基于单一指标。

此仓库聚焦于：

指导性问题：这种检测在真实的SOC环境中能否存活？

有兴趣与团队合作开展以下工作：

如果你正在解决棘手的检测问题，欢迎联系。

如果你觉得此仓库有用或从中有所收获，不妨给它点个星。这有助于研究触及更多分析师，并鼓励持续的工作。

所有查询和检测逻辑均为起点，应根据你的环境进行调整。

此仓库将随着新的检测研究的添加而持续更新。