mcpField
P
performing-threat-emulation-with-atomic-red-team

performing-threat-emulation-with-atomic-red-team

github.com/mukul975セキュリティ35.2k70 回インストール8 週間前に更新
リポジトリ

performing-threat-emulation-with-atomic-red-team について

atomic-operatorでAtomic Red Teamテストを実行し、MITRE ATT&CKに照らして検知範囲を確認するセキュリティスキルです。テスト環境やラボで、許可を得た評価を行う担当者を対象とします。

主な機能

  1. 01Atomic Red Teamの技術テストを実行
  2. 02検知ルールに対応するテストを選択
  3. 03SIEM/EDRのアラートを確認
  4. 04検知ギャップを記録
  5. 05アトミックテストのYAML定義を解析

活用シーン

  1. 01選択したATT&CK技術の検知能力を検証
  2. 02ラボ環境でセキュリティ制御をテスト
  3. 03模擬活動へのSIEM/EDRの応答を確認
  4. 04ギャップを特定して検知ルールを更新

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-threat-emulation-with-atomic-red-team

インストール後、Claude Code で/performing-threat-emulation-with-atomic-red-teamを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

Atomic Red Team による脅威エミュレーションの実施

使用する場面

  • Atomic Red Team を使用した脅威エミュレーションを伴うセキュリティ評価を実施する場合
  • 関連するセキュリティイベントのインシデント対応手順に従う場合
  • 定期的なセキュリティテストや監査を実施する場合
  • 実地テストを通じてセキュリティ制御を検証する場合

前提条件

  • 脅威インテリジェンスの概念とツールに関する知識
  • 安全に実行できるテスト環境またはラボ環境へのアクセス
  • 必要な依存関係をインストールした Python 3.8+
  • テスト活動に対する適切な許可

手順

atomic-operator を使用して Atomic Red Team のテストを実行し、MITRE ATT&CK の手法に対する検知範囲を検証します。

from atomic_operator import AtomicOperator

operator = AtomicOperator()
# Run a specific technique test
operator.run(
    technique="T1059.001",  # PowerShell execution
    atomics_path="./atomic-red-team/atomics",
)

主なワークフロー：

  1. テスト定義を取得するため、atomic-red-team リポジトリをクローンします
  2. 検知ルールに一致する ATT&CK の手法を選択します
  3. atomic-operator を使用して Atomic テストを実行します
  4. SIEM/EDR で対応するアラートを確認します
  5. 検知のギャップを記録し、ルールを更新します

例

# Parse atomic test YAML definitions
import yaml
with open("atomics/T1059.001/T1059.001.yaml") as f:
    tests = yaml.safe_load(f)
for test in tests.get("atomic_tests", []):
    print(f"Test: {test['name']}")
    print(f"  Platforms: {test.get('supported_platforms', [])}")

コメント

Markdown 対応