Skip to content
KitploitKITPLOIT
工具博客
提交
工具博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

··订阅源·联系·隐私·© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
crowdstrike-falcon-queries — 用于配合 CrowdStrike Falcon 进行威胁狩猎的 Splunk 搜索处理语言 (SPL) 合集 | Kitploit
工具/GitHubGitHub/pe3zx/crowdstrike-falcon-queries
防御工具入侵检测异常检测日志分析
GitHubpe3zx/crowdstrike-falcon-queries

crowdstrike-falcon-queries

用于配合 CrowdStrike Falcon 进行威胁狩猎的 Splunk 搜索处理语言 (SPL) 合集

查看仓库
221526年前Kitploit 审核通过

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

crowdstrike-falcon-queries

一组用于使用 CrowdStrike Falcon 进行威胁狩猎的 Splunk 搜索处理语言 (SPL) 集合

由 i-secure co., Ltd. 的 Intelligent Response 团队开发和维护

  • crowdstrike-falcon-queries
    • 执行已重命名的可执行文件
    • 具有网络连接的 Living Off The Land 二进制文件列表
    • 来自进程的可疑网络连接
    • 由 Explorer 生成且具有网络连接的可疑 PowerShell 进程
    • 威胁狩猎 #1 - RDP 劫持痕迹 - 第 1 部分
    • 威胁狩猎 #2 - 使用 EID 5145 检测 PsLoggedOn 执行

执行已重命名的可执行文件

此查询的灵感来自 Red Canary 的研究。有关泰语说明，请查看我们的博客。

思路：

  • 检查是否存在任何包含文件重命名活动的事件 — 我们发现 CrowdStrike Falcon 已经为可执行文件提供了特定字段名 NewExecutableRenamed。
  • 将 NewExecutableRenamed 事件中的 TargetFileName 字段与 ProcessRollup2 事件中 ImageFileName 字段中的文件名关联起来。
  • 创建包含 ComputerName、timestamp、ImageFileName 和 CommandLine 列的结果表。
root@kitploit:~
event_simpleName="NewExecutableRenamed"
| rename TargetFileName as ImageFileName
| join ImageFileName 
    [ search event_simpleName="ProcessRollup2" ]
| table ComputerName SourceFileName ImageFileName CommandLine

具有网络连接的 Living Off The Land 二进制文件列表

此查询的灵感来自 Red Canary 的研究。有关泰语说明，请查看我们的博客。

思路：

  • 检查是否存在与网络活动相关的事件 — 我们发现 CrowdStrike Falcon 具有 DnsRequest 和 NetworkConnectIP4 事件。在此查询中，我们将使用 DnsRequest 事件。
  • 将 DnsRequest 事件中的 ContextProcessId 字段与 ProcessRollup2 事件中的 TargetProcessId 字段关联起来。
  • 创建一个子搜索，仅筛选已知的 LOLBas 文件。
  • 创建包含 ComputerName、timestamp、ImageFileName 和 CommandLine 列的结果表。

由于我们的狩猎查询需要一份已知的 LOL 二进制文件/文件列表用于过滤，因此我们需要枚举 LOLBAS-Project/LOLBas 上可用的文件列表，这只需通过一个 grep 表达式即可完成：grep -Poh "(?<=Name:\s)[A-Za-z0-9_-]+.exe$" OSBinaries/

root@kitploit:~
event_simpleName="DnsRequest"
| rename ContextProcessId as TargetProcessId
| join TargetProcessId 
    [ search event_simpleName="ProcessRollup2" (FileName=Atbroker.exe OR FileName=Bash.exe OR FileName=Bitsadmin.exe OR FileName=Certutil.exe OR FileName=Cmd.exe OR FileName=Cmstp.exe OR FileName=Control.exe OR FileName=Cscript.exe OR FileName=Csc.exe OR FileName=Dfsvc.exe OR FileName=Diskshadow.exe OR FileName=Dnscmd.exe OR FileName=Esentutl.exe OR FileName=Eventvwr.exe OR FileName=Expand.exe OR FileName=Extexport.exe OR FileName=Extrac32.exe OR FileName=Findstr.exe OR FileName=Forfiles.exe OR FileName=Ftp.exe OR FileName=Gpscript.exe OR FileName=Hh.exe OR FileName=Ie4uinit.exe OR FileName=Ieexec.exe OR FileName=Infdefaultinstall.exe OR FileName=Installutil.exe OR FileName=Jsc.exe OR FileName=Makecab.exe OR FileName=Mavinject.exe OR FileName=Mmc.exe OR FileName=Msconfig.exe OR FileName=Msdt.exe OR FileName=Mshta.exe OR FileName=Msiexec.exe OR FileName=Odbcconf.exe OR FileName=Pcalua.exe OR FileName=Pcwrun.exe OR FileName=Presentationhost.exe OR FileName=Print.exe OR FileName=Regasm.exe OR FileName=Regedit.exe OR FileName=Register-cimprovider.exe OR FileName=Regsvcs.exe OR FileName=Regsvr32.exe OR FileName=Reg.exe OR FileName=Replace.exe OR FileName=Rpcping.exe OR FileName=Rundll32.exe OR FileName=Runonce.exe OR FileName=Runscripthelper.exe OR FileName=Schtasks.exe OR FileName=Scriptrunner.exe OR FileName=Sc.exe OR FileName=SyncAppvPublishingServer.exe OR FileName=Verclsid.exe OR FileName=Wab.exe OR FileName=Wmic.exe OR FileName=Wscript.exe OR FileName=Wsreset.exe OR FileName=Xwizard.exe) ] 
| table ComputerName timestamp ImageFileName DomainName CommandLine

来自进程的可疑网络连接

此查询的灵感来自 Red Canary 的研究。有关泰语说明，请查看我们的博客。

思路：

  • 识别 CrowdStrike Falcon 通过 DNSRequest 或 NetworkConnectIP4 事件记录的网络活动，在本查询中我们将使用 NetworkConnectIP4。
  • 将 ContextProcessId_decimal 与 ProcessRollup2 事件中的 TargetProcessId_decimal 关联起来。
  • 创建包含 RemoteIP、RemotePort_decimal、ImageFileName、UserName 和 UserSid_readable 的结果表。
root@kitploit:~
event_simpleName="NetworkConnectIP4"
| rename ContextProcessId_decimal as TargetProcessId_decimal
| join TargetProcessId_decimal 
    [ search event_simpleName=ProcessRollup2 ]
| table RemoteIP RemotePort_decimal ImageFileName UserName UserSid_readabl

由 Explorer 生成且具有网络连接的可疑 PowerShell 进程

此查询的灵感来自 Red Canary 的研究。有关泰语说明，请查看我们的博客。

思路：

  • 识别 CrowdStrike Falcon 通过 DNSRequest 事件记录的网络活动。
  • 将 DNSRequest 中的 ContextProcessId 字段与 ProcessRollup2 和 SyntheticProcessRollup2 事件中的 TargetProcessId 关联起来。
  • 通过组合 rename-join-subsearch，创建外层嵌套子搜索，负责从 ProcessRollup2 事件中识别 Explorer.exe 的 TargetProcessId_decimal，然后与内层嵌套子搜索连接；内层嵌套子搜索负责查找 PowerShell.exe，其 ParentProcessId_decimal 与 Explorer.exe 的 TargetProcessId_decimal 相同。
  • 创建包含 ComputerName、、、 和 的结果表。

请注意，只要使用了 ParentProcessId_decimal，就可能需要将搜索范围扩展到比平时更长的时间。因为某些进程，尤其是系统进程，通常运行时间较长，但最近被滥用。

root@kitploit:~
event_simpleName="DnsRequest"
| rename ContextProcessId as TargetProcessId
| join TargetProcessId 
    [ search (event_simpleName="ProcessRollup2" OR event_simpleName="SyntheticProcessRollup2") AND FileName="explorer.exe" 
    | rename TargetProcessId_decimal as ParentProcessId_decimal 
    | join ParentProcessId_decimal 
        [ search event_simpleName="ProcessRollup2" FileName="powershell.exe" ]] 
| table ComputerName timestamp ImageFileName DomainName CommandLine

威胁狩猎 #1 - RDP 劫持痕迹 - 第 1 部分

此查询的灵感来自 MENASEC 的研究。

CrowdStrike 有一个名为 RegSystemConfigValueUpdate 的事件类别用于此类行为。但是，LastLoggedOnUser 和 LastLoggedOnSAMUser 不被视为系统配置。因此，我们只能发现编辑 RDP-Tcp\PortNumber 的尝试。

root@kitploit:~
event_simpleName="RegSystemConfigValueUpdate" AND RegObjectName="*\RDP-Tcp" AND RegValueName="PortNumber" 
| rename RegNumericValue_decimal as "NewRDPPort"
| table timestamp, ComputerName, NewRDPPort

威胁狩猎 #2 - 使用 EID 5145 检测 PsLoggedOn 执行

此查询的灵感来自 MENASEC 的研究

没有与此活动相关的事件

下载工具
timestamp
ImageFileName
DomainName
CommandLine