mcpField
H
hunting-for-spearphishing-indicators

hunting-for-spearphishing-indicators

github.com/mukul975セキュリティ35.2k49 回インストール8 週間前に更新
リポジトリ

hunting-for-spearphishing-indicators について

エンドポイントや SIEM のテレメトリからスピアフィッシングの兆候を調べる脅威ハンティングスキルです。ATT&CK 技術 T1566.001～T1566.003 に関連する事象を、仮説に基づいて検索、相関、検証し、報告する手順を示します。

主な機能

  1. 01仮説に基づくハンティング手順
  2. 02EDR と SIEM のクエリ分析
  3. 03複数データソース間のイベント相関
  4. 04誤検知の検証
  5. 05調査結果と対応策の報告

活用シーン

  1. 01活動中の攻撃情報を受けた後の調査
  2. 02フィッシング関連インシデントの範囲特定
  3. 03EDR または SIEM アラートの調査
  4. 04定期評価やパープルチーム演習

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-spearphishing-indicators

インストール後、Claude Code で/hunting-for-spearphishing-indicatorsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

スピアフィッシングの痕跡のハンティング

使用するタイミング

  • 環境内で、スピアフィッシングの痕跡のハンティングに関連する痕跡を能動的に探すとき
  • 脅威インテリジェンスによって、これらの手法を使用するアクティブなキャンペーンが示されたとき
  • インシデント対応中に、これらの手法に関連する侵害の範囲を特定するとき
  • EDR または SIEM のアラートが関連する痕跡で発火したとき
  • 定期的なセキュリティ評価やパープルチーム演習の期間中

前提条件

  • プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
  • 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
  • 包括的な構成で展開された Sysmon
  • Windows セキュリティイベントログの転送が有効になっていること
  • IOC との突合のための脅威インテリジェンスフィード

ワークフロー

  1. 仮説の策定: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
  2. データソースの特定: 仮説を検証または反証するために必要なログとテレメトリを決定します。
  3. クエリの実行: SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
  4. 結果の分析: クエリ結果の異常を調べ、複数のデータソースをまたいで相関させます。
  5. 検出結果の検証: コンテキスト分析を通じて、真陽性と偽陽性を区別します。
  6. アクティビティの相関分析: 検出結果を、より広範な攻撃チェーンや脅威アクターの TTP に結び付けます。
  7. 文書化と報告: 検出結果を記録し、検知ルールを更新して、対応措置を推奨します。

主要な概念

概念説明
T1566.001スピアフィッシング添付ファイル
T1566.002スピアフィッシングリンク
T1566.003サービスを介したスピアフィッシング

ツールとシステム

ツール用途
CrowdStrike FalconEDR のテレメトリと脅威検出
Microsoft Defender for EndpointKQL を使用した高度なハンティング
Splunk EnterpriseSPL クエリによる SIEM ログ分析
Elastic Security検知ルールと調査タイムライン
Sysmon詳細な Windows イベントの監視
Velociraptorエンドポイントのアーティファクト収集とハンティング
Sigma Rulesプラットフォームに依存しない検知ルール形式

一般的なシナリオ

  1. シナリオ 1: マクロ有効の Excel が PowerShell ダウンローダーを実行する
  2. シナリオ 2: HTML スメグリングにより、LNK ペイロードを含む ISO を配信する
  3. シナリオ 3: SharePoint の通知を装った認証情報窃取リンク
  4. シナリオ 4: PDF 添付ファイル内の QR コードによるフィッシング

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1566.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]

コメント

Markdown 対応