CB detecting-privilege-escalation-attempts
Обнаруживает попытки повышения привилегий в Windows и Linux, включая манипуляцию токенами доступа, обход UAC, злоупотребление незащищенными путями служб, эксплойты ядра и злоупотребление sudo/doas. Используйте при поиске угроз для повышения привилегий в стиле T1068, при сортировке оповещений EDR/SIEM о подозрительных изменениях привилегий, при определении масштабов компрометации во время реагирования на инциденты или при проверке охвата обнаружения в рамках совместных учений.
машинный переводПоказать оригиналСкрыть оригинал«Detect privilege escalation attempts across Windows and Linux, includi…»
Detect privilege escalation attempts across Windows and Linux, including access token manipulation, UAC bypass, unquoted service path abuse, kernel exploits, and sudo/doas abuse. Use when threat hunting for T1068-style privilege escalation, triaging EDR/SIEM alerts on suspicious privilege changes, scoping compromise during incident response, or validating detection coverage in a purple team exercise.
Обнаруживает попытки повышения привилегий в Windows и Linux, включая манипуляцию токенами доступа, обход UAC, злоупотребление незащищенными путями служб…
Как процесс B 75/100 · Почти готов — слабые места: ошибки и развилки, повторный запуск
Как улучшить
Для прогона на моделях — необязательно
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 15
✓ Критических и высоких находок нет
Средние и низкие: 15
-
низкая Рискованное назначение
intent-offensive-securityassets/template.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Detecting Privilege Escalation Attempts - Hunt Template
детектор -
низкая Рискованное назначение
intent-offensive-securityassets/template.md:24Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- [ ] T1068 - Exploitation for Privilege Escalation
-
низкая Рискованное назначение
intent-offensive-securityreferences/api-reference.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# API Reference: Detecting Privilege Escalation Attempts
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/api-reference.md:3Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)## Windows Privilege Escalation Techniques
-
низкая Рискованное назначение
intent-offensive-securityreferences/api-reference.md:13Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)## Linux Privilege Escalation Techniques
-
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Standards and References - Detecting Privilege Escalation Attempts
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:9Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| T1068 | Exploitation for Privilege Escalation | See attack.mitre.org/techniques/T1068 |
-
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:39Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- Atomic Red Team Tests: https://github.com/redcanaryco/atomic-red-team
-
низкая Рискованное назначение
intent-offensive-securityreferences/workflows.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Detailed Hunting Workflow - Detecting Privilege Escalation Attempts
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/workflows.md:48Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- Trace lateral movement and privilege escalation paths
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:3Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)description: Detect privilege escalation attempts across Windows and Linux, including access token manipulation, UAC bypass, unquoted service path abuse, kernel exploits, and sudo/doas abuse. Use when
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:35Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Detecting Privilege Escalation Attempts
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:39Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)- When proactively hunting for indicators of detecting privilege escalation attempts in the environment
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:69Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| T1068 | Exploitation for Privilege Escalation |
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:88Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)3. **Scenario 3**: PrintSpoofer privilege escalation from service to SYSTEM
Просканировано файлов: 8. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- заметка
frontmatter-keyнеизвестное поле фронтматтера "domain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "subdomain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "d3fend_techniques" - заметка
frontmatter-keyнеизвестное поле фронтматтера "nist_csf" - заметка
frontmatter-keyнеизвестное поле фронтматтера "mitre_attack"
Процессный рейтинг: все десять параметров 75/100
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
- 70Когда включается. Сказано, когда применять, но не сказано, когда не стоит
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 21
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 693 токенов
- 100Отчётность по ходу. Скилл сообщает о ходе работы
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- -43 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
- -32 из 2 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +3Длина description 403 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 8 заголовков
- +3Пошаговые инструкции: 21 пунктов
- +3Формат ответа описан явно
- +4Есть примеры (1 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 78.