mcpField
D
deploying-ransomware-canary-files

deploying-ransomware-canary-files

github.com/mukul975安全35.2k67 次安装8 周前更新
代码仓库

关于 deploying-ransomware-canary-files

这是使用诱饵文件及文件系统监控进行勒索软件预警的部署指南，适用于文件服务器、NAS 和终端。它侧重发现文件操作，不替代终端防护、备份或网络隔离。

主要功能

  1. 01在目标目录放置诱饵文件
  2. 02监控文件修改、删除、移动和创建事件
  3. 03通过邮件、Slack、syslog 或本地日志告警
  4. 04记录事件时间、路径及可用的进程信息
  5. 05通过模拟文件操作验证告警

适用场景

  1. 01为文件服务器或 NAS 添加勒索软件预警
  2. 02监控共享盘、用户目录和备份卷
  3. 03在无法部署 Agent 的系统上补充监测
  4. 04测试勒索软件事件响应流程

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill deploying-ransomware-canary-files

安装后在 Claude Code 中输入/deploying-ransomware-canary-files确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

部署勒索软件诱饵文件

适用场景

  • 在文件服务器、NAS 设备或终端系统上部署主动式勒索软件检测
  • 构建在勒索软件加密业务关键数据之前就能检测到它的预警系统
  • 在无法部署 Agent 的系统上，通过轻量级诱饵文件监控补充 EDR 解决方案
  • 通过模拟诱饵文件触发来测试勒索软件事件响应流程
  • 监控共享驱动器、主目录和备份卷中的未授权文件操作

请勿将其用作终端保护、备份策略或网络隔离的替代方案。诱饵文件是一层检测机制，而非防御机制。

前置条件

  • Python 3.8+ 及 pip
  • watchdog 库（pip install watchdog）
  • 对将要放置诱饵文件的目录具有写权限
  • 用于告警的 SMTP 服务器凭据或 Slack webhook URL
  • 在系统目录中放置诱饵文件所需的管理员权限

工作流

步骤 1：生成诱饵文件

创建具有逼真名称和内容的诱饵文件，以吸引勒索软件扫描程序。文件名应类似于 Passwords.xlsx、Financial_Report_2026.docx、backup_credentials.csv，并包含看起来合理但实为虚假的数据。将它们放置在勒索软件通常首先攻击的目录中：用户桌面、Documents 文件夹、网络共享根目录和备份路径。

步骤 2：部署文件系统监控

使用 Python 的 watchdog 库，配合自定义的 FileSystemEventHandler 来监视诱饵文件路径。该处理器会在诱饵文件的 on_modified、on_deleted、on_moved 和 on_created 事件上触发。任何合法用户或进程都不应触碰这些文件，因此任何交互都是勒索软件或未授权访问的高置信度指标。

步骤 3：配置告警管道

将文件系统监控接入多个告警渠道：通过 SMTP 发送电子邮件、Slack webhook POST、转发至 SIEM 的 syslog，以及本地日志文件。在告警负载中包含触发事件类型、文件路径、时间戳和进程信息（如可用）。

步骤 4：验证与测试

通过以编程方式修改、重命名和删除诱饵文件来模拟勒索软件行为，以验证检测管道能正确触发。测量告警所需时间，并验证告警在所有已配置渠道中的送达情况。

关键概念

术语定义
诱饵文件放置在受监控目录中的诱饵文件，在被访问、修改或删除时触发告警
Watchdog使用操作系统原生 API（Linux 上的 inotify、macOS 上的 FSEvents、Windows 上的 ReadDirectoryChangesW）监控文件系统事件的 Python 库
蜜罐文件诱饵文件的同义词；一种用于吸引并检测恶意活动的假文档
熵检查测量文件内容的随机性以检测加密（勒索软件会产生高熵输出）

工具与系统

  • watchdog：使用操作系统原生事件 API 的 Python 文件系统监控库
  • smtplib：用于 SMTP 电子邮件告警的 Python 标准库
  • requests：用于 Slack webhook 集成的 HTTP 库
  • hashlib：用于诱饵文件完整性验证的 SHA-256 哈希
  • psutil：检测到诱饵文件访问时用于收集进程信息

输出格式

RANSOMWARE CANARY ALERT
========================
Timestamp: 2026-03-11T14:23:07Z
Event: FILE_MODIFIED
Canary File: /srv/shares/finance/Passwords.xlsx
Directory: /srv/shares/finance
SHA-256 Before: a3f2...8b4c
SHA-256 After: 7e91...2d3f
Alert Channels: [email, slack, syslog]
Action: Investigate immediately - potential ransomware activity

评论

支持 Markdown