Tool, Cheat Sheet, dan Sumber Belajar

README.md adalah satu-satunya berkas di repository ini, jadi seluruh katalog tool dan bahan belajar terkumpul di dalam satu berkas itu. Katalog tersebut tersebar di beberapa bagian: ## Tools & Scripts (README.md:361-400¹), ## Ebooks (README.md:402-404²), ## Cheat Sheets (README.md:406-416), ## Other Resources (README.md:418-425) dengan subbagian ### Azure Active Directory (README.md:427-438), serta ## Defense & Detection yang memuat ### Tools & Scripts (README.md:442-471) dan ### Sysmon Configuration (README.md:473-476). Halaman ini mengatalogkan bahan rujukan itu. Tekniknya dibahas di halaman fase lain, misalnya Discovery, Credential Dumping, dan Persistence.

Peta tool ke fase kill chain

Blok ## Tools & Scripts memuat 39 baris tool dan tidak memberi label fase pada satu baris pun (README.md:361-400¹). Pemetaan di bawah ini diturunkan dari deskripsi yang tertulis pada baris masing-masing, bukan dari judul bagian.

Tool pengumpulan data bermuara ke fase Discovery. PowerView menyebut dirinya Situational Awareness PowerShell framework (README.md:366⁸), BloodHound memakai slogan Six Degrees of Domain Admin (README.md:367⁹), ADRecon menghasilkan laporan keadaan lingkungan AD target (README.md:377), ldapdomaindump membuang informasi AD lewat LDAP (README.md:386), dan MailSniper menyisir email di lingkungan Microsoft Exchange (README.md:383).

Certify menyasar salah konfigurasi AD CS (README.md:364¹³) dan Rubeus adalah toolset C# untuk interaksi Kerberos mentah (README.md:376¹⁴); keduanya bekerja di fase Privilege Escalation. Mimikatz menarik plaintext password, hash, PIN, dan tiket Kerberos dari memory serta membangun Golden ticket (README.md:378), sehingga ia menyentuh Credential Dumping sekaligus Persistence. orpheus menghindari deteksi Kerberoast dengan mengubah KDC option dan encryption type (README.md:399). SpoolSample memaksa host Windows melakukan autentikasi ke mesin lain lewat antarmuka MS-RPRN (README.md:387), CrackMapExec disebut A swiss army knife for pentesting networks (README.md:370), Impacket menyediakan kumpulan kelas Python untuk protokol jaringan (README.md:368), PowerUpSQL adalah toolkit PowerShell untuk menyerang SQL Server (README.md:375), dan DomainPasswordSpray menjalankan serangan password spray (README.md:382).

graph LR
  pv["PowerView"]
  bh["BloodHound"]
  adrecon["ADRecon"]
  ldd["ldapdomaindump"]
  sniper["MailSniper"]
  certify["Certify"]
  rubeus["Rubeus"]
  mimikatz["Mimikatz"]
  orpheus["orpheus"]
  cmexec["CrackMapExec"]
  impacket["Impacket"]
  powsql["PowerUpSQL"]
  spool["SpoolSample"]
  spray["DomainPasswordSpray"]
  discovery["Discovery"]
  privesc["Privilege Escalation"]
  cred["Credential Dumping"]
  lat["Lateral Movement"]
  persist["Persistence"]
  detect["Defense & Detection"]
  pingcastle["PingCastle"]
  plumhound["PlumHound"]
  logontracer["LogonTracer"]

  pv --> discovery
  bh --> discovery
  adrecon --> discovery
  ldd --> discovery
  sniper --> discovery
  certify --> privesc
  rubeus --> privesc
  mimikatz --> cred
  orpheus --> cred
  mimikatz --> persist
  cmexec --> lat
  impacket --> lat
  powsql --> lat
  spool --> lat
  spray --> lat
  pingcastle --> detect
  plumhound --> detect
  logontracer --> detect

  style discovery fill:#dc2626,color:#fff
  style privesc fill:#dc2626,color:#fff
  style cred fill:#dc2626,color:#fff
  style lat fill:#dc2626,color:#fff
  style persist fill:#dc2626,color:#fff
  style detect fill:#2d7d46,color:#fff
%% fig: Tool menurut fase kill chain
%% desc: Node merah adalah fase ofensif yang dilayani tool di sebelah kirinya, node hijau adalah fase deteksi yang dilayani tool audit dan monitoring.

Tabel berikut mencatat deskripsi resmi tiap tool agar pemetaan di atas dapat dilacak baris demi baris.

⚠️ Sebagian baris di blok ini adalah kode eksploit untuk CVE tertentu. BadSuccessor menyasar fitur baru Windows Server 2025 (README.md:362²²), sedangkan sam-the-admin dan noPac mengeksploitasi CVE-2021-42278 dan CVE-2021-42287 (README.md:394-395²³). Keberhasilan ketiganya bergantung pada patch level target, jadi cocokkan dulu dengan daftar di Kerentanan CVE dan Salah Konfigurasi.

BloodHound sebagai pusat data graf

BloodHound muncul di banyak baris lain sebagai titik temu. ADExplorerSnapshot.py adalah ingestor snapshot AD Explorer untuk BloodHound (README.md:398²⁴), sedangkan AD_Miner memakai cypher query untuk mengolah data dari graph database BloodHound (README.md:363²⁵). aclpwn.py memakai BloodHound untuk eksploitasi ACL (README.md:369) dan ImproHound memakai graph yang sama untuk menemukan attack path yang merusak tiering AD (README.md:397). Di sisi blue team, PlumHound menyebut dirinya Bloodhound for Blue and Purple Teams (README.md:471) dan FalconHound memakai BloodHound bersama SIEM (README.md:470).

graph LR
  ades["ADExplorerSnapshot.py"]
  db[("BloodHound graph")]
  aminer["AD_Miner"]
  aclpwn["aclpwn.py"]
  impro["ImproHound"]
  plum["PlumHound"]
  falcon["FalconHound"]

  ades --> db
  db --> aminer
  db --> aclpwn
  db --> impro
  db --> plum
  db --> falcon

  style db fill:#336791,color:#fff
  style aminer fill:#8b5cf6,color:#fff
  style plum fill:#2d7d46,color:#fff
  style falcon fill:#2d7d46,color:#fff
%% fig: BloodHound sebagai pusat data graf
%% desc: Snapshot AD masuk ke graph BloodHound, lalu tool audit, eksploitasi ACL, dan pemantauan blue team membaca graph yang sama.

Satu graph, banyak pembaca. Arah panah pada diagram itulah alasan sebuah tool tidak dapat dinilai netral: aclpwn.py dan ImproHound membaca graph untuk tujuan berbeda, dan PlumHound maupun FalconHound membaca graph yang sama untuk pertahanan.

Tool untuk Azure AD dan Microsoft 365

Subbagian ### Azure Active Directory memuat sebelas tautan bacaan (README.md:427-438⁵), tetapi tool cloud-nya justru tercatat di blok ## Tools & Scripts maupun blok ## Defense & Detection. Kelompok ini berguna ketika inventaris AD memuat Azure AD Connect atau tenant Microsoft 365.

Tool defensif dan sumber konfigurasi Sysmon

Blok ### Tools & Scripts pada ## Defense & Detection memuat 29 baris (README.md:442-471⁶). Isinya campuran tool audit konfigurasi, pemantauan, dan pembungkus event log.

Sysmon mendapat subbagian sendiri berisi tiga repository konfigurasi: sysmon-modular untuk dikustomisasi, sysmon-dfir untuk sumber dan cara mendeteksi aktivitas jahat, serta sysmon-config sebagai templat dengan event tracing bawaan (README.md:473-476⁷). Aturan deteksi yang memakai konfigurasi ini dibahas di Deteksi Berbasis Event ID dan Sysmon, sedangkan langkah perbaikannya ada di Defense & Detection: Hardening dan Patch.

Cheat sheet, e-book, dan bahan belajar lain

## Cheat Sheets mengumpulkan sepuluh tautan (README.md:406-416³), ## Ebooks hanya dua entri (README.md:402-404²), dan ## Other Resources menambah tujuh tautan dari slide BlackHat Asia 2019 sampai AD-security-workshop (README.md:418-425⁴).

Tiga kelompok bahan ini saling melengkapi: cheat sheet memberi perintah siap pakai, e-book dan daftar bacaan memberi konteks, sedangkan katalog tool memberi perangkatnya. Untuk TTP yang dilayani tool tersebut, kembali ke halaman fasenya, mulai dari Discovery sampai Defense Evasion.