关于 hunting-for-data-staging-before-exfiltration
面向 SOC 分析师的数据外传前暂存威胁狩猎技能。它利用进程和文件系统遥测识别压缩、可疑暂存路径及文件集中行为，并生成带风险评分的报告。
主要功能
- 01检测归档工具执行
- 02识别可疑暂存目录
- 03发现大规模文件集中
- 04监测敏感路径访问
- 05分析归档文件元数据
- 06生成风险评分狩猎报告
适用场景
- 01调查疑似外传前的数据暂存
- 02构建 MITRE ATT&CK T1074 检测规则
- 03检查对暂存行为的监测覆盖
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/hunting-for-data-staging-before-exfiltration确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
在数据外泄前搜寻数据暂存行为
概述
在窃取数据之前，攻击者通常会将收集到的文件集中暂存在一个中心位置（MITRE ATT&CK T1074）。这涉及使用 7-Zip、RAR 或 tar 等工具创建归档文件，将来自多个目录的文件整合在一起，并使用临时或隐藏的暂存目录。本技能通过分析进程创建日志中的归档工具活动、监控常见暂存路径中的文件系统事件，以及识别异常的 file consolidation 模式来检测暂存行为。
何时使用
- 在调查需要在外泄前搜寻数据暂存行为的安全事件时
- 在为该领域构建检测规则或威胁搜寻查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前置条件
- 具备进程创建和文件系统事件的 EDR 或 Sysmon 遥测
- Windows 事件日志（事件 ID 4688）或 Sysmon 事件 ID 1、11
- Python 3.8+ 及标准库
- 可访问 JSON/CSV 格式的进程创建日志
步骤
- 检测归档工具执行 — 监控带压缩参数的 7z.exe、rar.exe、tar、zip 和 WinRAR 进程创建
- 识别暂存目录 — 标记对常见暂存位置（回收站、%TEMP%、ProgramData、隐藏目录）的文件写入
- 检测大文件整合 — 识别多次文件读取后向单一目录写入的模式
- 监控敏感路径访问 — 跟踪对文档目录、数据库路径和网络共享的批量读取
- 分析归档元数据 — 提取并分析归档文件大小、创建时间和源路径
- 评定暂存风险 — 基于归档大小、来源多样性、暂存路径可疑度和时间应用启发式评分
- 生成搜寻报告 — 生成包含暂存事件时间线和 MITRE ATT&CK 映射的结构化报告
预期输出
- 检测到的暂存事件及风险评分的 JSON 报告
- 带源文件分析的归档创建时间线
- MITRE ATT&CK 映射（T1074.001、T1074.002、T1560）
- 显示可疑写入活动的暂存目录热力图
评论
支持 Markdown