mcpField
T
threat-hunting

threat-hunting

github.com/zhaoxuya520セキュリティ43.7k1.2k 回インストール5 週間前に更新
リポジトリ

threat-hunting について

ブルーチーム向けの脅威ハンティングと検知エンジニアリングのスキルです。仮説、データ検索、検証、検知ルール作成を軸に、Sigma、YARA、アラート調整、認可済みテストを扱います。

主な機能

  1. 01仮説に基づく脅威ハンティング
  2. 02SIEMとエンドポイントデータの検索
  3. 03SigmaとYARAのルール作成
  4. 04誤検知分析とアラート調整
  5. 05過去ログ再生による検証

活用シーン

  1. 01エンドポイントやSIEMの異常な動きの調査
  2. 02マルウェアIOCから検知ルールへの変換
  3. 03アラートの誤検知分析とルール調整
  4. 04認可済みラボでの検知範囲の検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill threat-hunting

インストール後、Claude Code で/threat-huntingを入力して読み込まれたか確認します。

同梱ファイルreferences/hunting-loop.md

詳細

プロジェクトの README より

Threat Hunting & Detection Engineering

ACTION REQUIRED（读完后立刻执行）

  1. NOW: 确认蓝队/狩猎授权与数据源范围（SIEM、EDR 导出）
  2. NOW: 明确假说（hypothesis）再查数，避免无脑刷告警
  3. NEXT: 工具与数据接入方式
  4. ACT: 假说 → 查询 → 验证 → 规则化

适用场景

  • 威胁狩猎（hypothesis-driven）
  • Sigma / YARA 检测工程
  • 告警调优、误报分析
  • 与 malware-analysis/：样本侧 IOC → 本 skill 落地检测
  • 与 digital-forensics/：案件伪影 → 横向狩猎

工作流

1. 建假说
例：攻击者用 living-off-the-land 做横向
→ 数据源：Sysmon 1/3/10、Windows Security 4624/4648
→ 成功标准：发现异常父进程或罕见账户日志源
2. 查询与堆叠
□ 基线：正常管理员行为时段与主机
□ 异常：新服务、编码 PowerShell、异常出站
□ 关联：同账号多主机短时登录
3. 规则化
# Sigma 骨架见 malware-analysis；本 skill 强调：
# - 误报面
# - 数据源字段映射
# - 响应 playbook 链接
4. 验证
□ 原子测试（Atomic Red Team）仅在授权实验室
□ 回放历史日志验证召回

工具链

工具用途
Sigma CLI / sigmac规则转换
YARA文件/内存
SIEM（ELK/Splunk 等）查询
osquery端点狩猎
Atomic Red Team检测验证（实验室）

参考

  • references/hunting-loop.md
  • ../malware-analysis/references/yara-sigma-rules.md
  • ../digital-forensics/

路由上下文

上游: MASTER R27
下游: 确认入侵 → forensics；恶意样本 → malware-analysis
MUST NOT: 在无授权生产环境跑攻击模拟

任务完成自检

  • 是否有明确假说与结论？
  • 规则是否注明误报与数据源？
  • Checklist？

コメント

Markdown 対応