Situational Awareness

Bagian Situational Awareness adalah titik ketika operator berhenti memetakan permukaan serangan dari luar dan mulai membaca host serta domain yang sudah dimasuki. Bagian ini menempati README.md:153-181¹ dan hanya berisi dua tabel: nama tool, deskripsi satu kalimat, dan URL. Tidak ada versi, lisensi per tool, atau pemetaan ATT&CK di dalamnya, sehingga dokumentasi ini hanya bisa menjelaskan apa yang tertulis di deskripsi masing-masing baris.

Secara struktur, bagian ini jatuh tepat setelah tabel ### Log Aggregation dan tepat sebelum ## Credential Dumping (README.md:184²). Posisi itu masuk akal untuk alur kerja: hasil survei di sini menjadi masukan bagi pengambilan kredensial, eskalasi, dan perpindahan yang dibahas di halaman Credential Access dan Privilege Escalation serta Lateral Movement, Tunneling, dan Exfiltration.

⚠️ Table of Contents tidak memuat entri Command and Control (README.md:8-18³) padahal bagian itu ada di README.md:102⁴. Bagian Situational Awareness sendiri hanya punya satu entri TOC, yaitu #situational-awareness (README.md:11⁵), tanpa tautan ke sub-bagian host maupun domain. Saat menavigasi daftar ini, jangan mengandalkan TOC sebagai peta urutan bagian.

Dua tingkat, dua pertanyaan berbeda

README memecah bagian ini menjadi ### Host Situational Awareness dengan 9 tool (README.md:154-165⁶) dan ### Domain Situational Awareness dengan 11 tool (README.md:168-181⁷). Pemisahan itu mengikuti dua pertanyaan yang berbeda: tabel host menjawab apa yang ada di mesin yang sudah dikuasai, tabel domain menjawab bagaimana objek AD saling terhubung. Diagram berikut memetakan objek yang dienumerasi per tingkat, lalu mempertemukan keduanya di satu titik keputusan.

graph TD
  PATH["Pemilihan jalur serangan"]
  CRED["Kredensial: Rubeus dan ADCSPwn"]
  LAT["Perpindahan: SharpShares dan StandIn"]
  EVAS["Evasi: SharpEDRChecker"]

  subgraph HS["Host level: 9 tool"]
    P["SharpEDRChecker"]
    SE["Seatbelt"]
    SE2["SauronEye"]
    SH["SharpShares"]
    AL["SharpAppLocker"]
    PX["AggressiveProxy"]
  end

  subgraph DS["Domain level: 11 tool"]
    SV["SharpView dan Recon-AD"]
    ST["StandIn"]
    RU["Rubeus dan nanorobeus"]
    PK["PSPKIAudit dan ADCSPwn"]
    BH["BloodHound"]
    IH["ImproHound"]
    GR["Grouper deprecated"]
  end

  P --> PATH
  P --> EVAS
  SE --> PATH
  SE2 --> PATH
  SH --> LAT
  AL --> PATH
  PX --> PATH
  SV --> PATH
  BH --> PATH
  IH --> PATH
  GR --> PATH
  ST --> LAT
  RU --> CRED
  PK --> CRED
  PATH --> CRED
  PATH --> LAT
  PATH --> EVAS

  style P fill:#8b5cf6,color:#fff
  style SE fill:#8b5cf6,color:#fff
  style SE2 fill:#8b5cf6,color:#fff
  style SH fill:#8b5cf6,color:#fff
  style AL fill:#8b5cf6,color:#fff
  style PX fill:#8b5cf6,color:#fff
  style SV fill:#336791,color:#fff
  style ST fill:#336791,color:#fff
  style RU fill:#336791,color:#fff
  style PK fill:#336791,color:#fff
  style BH fill:#336791,color:#fff
  style IH fill:#f59e0b,color:#000
  style PATH fill:#f59e0b,color:#000
  style GR fill:#dc2626,color:#fff
  style CRED fill:#2d7d46,color:#fff
  style LAT fill:#2d7d46,color:#fff
  style EVAS fill:#2d7d46,color:#fff
%% fig: Objek yang dienumerasi per level
%% desc: Tabel host dan domain menyumbang objek berbeda ke satu titik keputusan, lalu keputusan itu bercabang ke kredensial, perpindahan, dan evasi.

Sembilan tool host semuanya bekerja pada satu mesin, tetapi objek yang dibaca berbeda-beda. Sebelas tool domain bekerja pada direktori, tetapi ada yang membaca objek dan ada yang langsung mengubahnya. Node merah menandai satu-satunya tool yang README sendiri sebut usang.

Host level: sembilan tool survei

AggressiveProxy menarik karena batasnya kabur: deskripsinya mencakup enumerasi konfigurasi proxy sekaligus pengiriman trafik ke server Cobalt Strike (README.md:157¹⁵). Bagian enumerasinya milik halaman ini, bagian kanal C2-nya sudah dibahas di Command and Control.

Domain level: sebelas tool enumerasi AD

⚠️ Grouper ditandai "deprecated, use Grouper2 instead!" (README.md:178²⁴), tetapi Grouper2 tidak ada di daftar mana pun dalam README ini. Jangan menganggap daftar ini menyediakan penggantinya.

⚠️ StandIn, Rubeus, dan ADCSPwn bukan pembaca pasif. Deskripsinya menyebut resource based constrained delegation, penyalahgunaan Kerberos, dan eskalasi via certificate service (README.md:171²⁰, README.md:176-177²¹, README.md:181²³). Tindakan mereka masuk cakupan Credential Access dan Privilege Escalation; halaman ini hanya memakai keluarannya untuk memilih jalur.

Menyusun jalur serangan dari dua daftar

Tidak ada urutan wajib yang ditetapkan README. Yang bisa dibaca dari deskripsi hanyalah rantai ketergantungan data: ImproHound bekerja di atas attack path yang sudah ada di BloodHound (README.md:179²⁵), sedangkan BloodHound sendiri hanya dijelaskan sebagai "Six Degrees of Domain Admin" tanpa rincian objek yang dikumpulkannya (README.md:173¹⁷). Artinya, klaim tentang objek apa yang dibaca BloodHound harus datang dari dokumentasi tool itu, bukan dari daftar ini.

Pola yang lebih aman: pakai tabel host untuk memilih apakah jalur menuju kredensial masih terbuka di mesin itu, lalu pakai tabel domain untuk memastikan jalur tersebut tidak memutus tier. SharpEDRChecker memberi bahan untuk keputusan pertama karena menyebut produk defensif yang terpasang (README.md:159⁸), ImproHound memberi bahan untuk keputusan kedua (README.md:179²⁵).

⚠️ SharpEDRChecker membaca DLL yang dimuat ke proses tempat ia berjalan (README.md:159⁸). Hasilnya menggambarkan proses itu, bukan seluruh host, dan menjalankannya di endpoint yang dijaga produk yang sedang ia deteksi adalah peristiwa tersendiri.

Batas halaman ini

Tool yang tetap berada di halaman ini adalah tool yang kegunaan utamanya membaca keadaan: kesembilan tool host (README.md:154-165⁶) dan tool domain yang murni enumerasi seperti SharpView, Recon-AD, PSPKIAudit, ImproHound, dan ADRecon (README.md:168-181⁷). Tool yang tujuan utamanya mengambil kredensial dibahas di Credential Access dan Privilege Escalation, yang ditandai heading ## Privilege Escalation pada README.md:210. Tool yang tujuannya berpindah ke share, layanan, atau sesi lain dibahas di Lateral Movement, Tunneling, dan Exfiltration, yang dimulai pada README.md:274. Tool yang tujuannya menghindari produk defensif dibahas di Defense Evasion, yang dimulai pada README.md:224.

Untuk konteks keseluruhan daftar dan konvensi penulisan tabelnya, lihat Ringkasan Proyek dan Struktur Daftar dan Konvensi Penulisan.