analyzing-ransomware-network-indicators について
SOC アナリストや脅威ハンターが、Zeek conn.log または NetFlow データからランサムウェア関連のネットワーク指標を調べるスキルです。ビーコン通信、TOR 接続、外向き転送、DNS パターンを相関し、MITRE ATT&CK マッピング付きのリスク評価レポートを生成します。
主な機能
- 01Zeek と NetFlow の記録を解析
- 02周期的なビーコン通信を検出
- 03TOR 出口ノードへの接続を確認
- 04異常な外向きデータ転送を検出
- 05不審な DNS パターンを分析
- 06MITRE マッピング付きリスク評価レポートを生成
活用シーン
- 01ランサムウェアインシデントの調査
- 02ネットワーク脅威ハンティングクエリの作成
- 03ランサムウェア指標に関する監視範囲の検証
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/analyzing-ransomware-network-indicatorsを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
ランサムウェアのネットワークインジケーターの分析
概要
ランサムウェアの実行前および実行中に、攻撃者はC2チャネルを確立し、データを持ち出し、暗号化キーをダウンロードします。このスキルでは、Zeekのconn.logとNetFlowデータを分析し、ビーコニングパターン（一定間隔でのコールバック）、既知のTOR出口ノードへの接続、大量のアウトバウンドデータ転送、ランサムウェアファミリーに関連する不審なDNSアクティビティを検出します。
使用する場面
- ランサムウェアのネットワークインジケーターの分析が必要なセキュリティインシデントを調査する場合
- この分野の検出ルールや脅威ハンティングクエリを作成する場合
- SOCアナリストがこの種の分析に関する体系的な手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合
前提条件
- Zeekのconn.logファイル、またはNetFlowのCSV／JSONエクスポート
- 標準ライブラリを含むPython 3.8+
- TOR出口ノードリスト（Tor Projectまたは脅威インテリジェンスフィードから取得）
- 任意：既知のランサムウェアC2 IOCリスト
手順
- 接続ログを解析する — Zeekのconn.log（TSV）またはNetFlowレコードを構造化形式で取り込みます
- ビーコニングパターンを検出する — 接続間隔の統計値（平均、標準偏差、変動係数）を計算し、周期的なコールバックを特定します
- TOR出口ノードへの接続を確認する — 宛先IPを最新のTOR出口ノードリストと照合します
- データ持ち出しを特定する — 外部IPへのアウトバウンドバイト比率が異常に高い接続にフラグを付けます
- DNSパターンを分析する — DGAのようなドメインクエリやエントロピーの高いサブドメインを検出します
- スコアを付けて相関させる — すべてのインジケーター種別にわたって複合リスクスコアを適用します
- レポートを生成する — タイムラインとMITRE ATT&CKのマッピングを含む構造化レポートを作成します
想定される出力
- ビーコニングの検出結果と間隔統計を含むJSONレポート
- TOR出口ノードへの接続アラート
- データ持ち出しのフロー分析
- MITREマッピング（T1071、T1573、T1041）付きの複合ランサムウェアリスクスコア
コメント
Markdown 対応