关于 analyzing-ransomware-network-indicators
供 SOC 分析师和威胁狩猎人员分析勒索软件网络指标的技能，可处理 Zeek conn.log 或 NetFlow 数据。它关联信标通信、TOR 连接、出站传输和 DNS 模式，并生成带 MITRE ATT&CK 映射的风险评分报告。
主要功能
- 01解析 Zeek 和 NetFlow 记录
- 02检测周期性信标通信
- 03检查与 TOR 出口节点的连接
- 04标记异常出站数据传输
- 05分析可疑 DNS 模式
- 06生成含 MITRE 映射的风险评分报告
适用场景
- 01调查勒索软件安全事件
- 02编写网络威胁狩猎查询
- 03验证勒索软件指标的监控覆盖
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/analyzing-ransomware-network-indicators确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
分析勒索软件网络指标
概述
在勒索软件执行之前和执行期间，攻击者会建立 C2 通道、窃取数据并下载加密密钥。本技能分析 Zeek conn.log 和 NetFlow 数据，以检测信标模式（固定间隔回调）、与已知 TOR 出口节点的连接、大规模出站数据传输，以及与勒索软件家族相关的可疑 DNS 活动。
何时使用
- 当调查需要分析勒索软件网络指标的安全事件时
- 当为该领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 当验证相关攻击技术的安全监控覆盖范围时
前提条件
- Zeek conn.log 文件或 NetFlow CSV/JSON 导出
- Python 3.8+ 及标准库
- TOR 出口节点列表（从 Tor Project 或威胁情报源获取）
- 可选：已知勒索软件 C2 IOC 列表
步骤
- 解析连接日志 — 将 Zeek conn.log（TSV）或 NetFlow 记录摄入为结构化格式
- 检测信标模式 — 计算连接间隔统计量（均值、标准差、变异系数），以识别周期性回调
- 检查 TOR 出口节点连接 — 将目标 IP 与当前 TOR 出口节点列表进行交叉比对
- 识别数据外泄 — 标记到外部 IP 的出站字节比例异常高的连接
- 分析 DNS 模式 — 检测类似 DGA 的域名查询和高熵子域名
- 评分与关联 — 对所有指标类型应用综合风险评分
- 生成报告 — 生成包含时间线和 MITRE ATT&CK 映射的结构化报告
预期输出
- 包含信标检测和间隔统计的 JSON 报告
- TOR 出口节点连接告警
- 数据外泄流量分析
- 带 MITRE 映射（T1071、T1573、T1041）的综合勒索软件风险评分
评论
支持 Markdown