关于 hunting-for-spearphishing-indicators
用于结合终端与 SIEM 遥测调查鱼叉式钓鱼指标的威胁狩猎技能。它提供基于假设的流程，用于查询、关联、验证并报告与 ATT&CK 技术 T1566.001–T1566.003 相关的发现。
主要功能
- 01基于假设的狩猎流程
- 02分析 EDR 与 SIEM 查询结果
- 03跨数据源关联事件
- 04验证误报
- 05报告发现与响应建议
适用场景
- 01在获知活跃活动后开展狩猎
- 02界定钓鱼相关事件的影响范围
- 03调查 EDR 或 SIEM 告警
- 04开展定期评估与紫队演练
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/hunting-for-spearphishing-indicators确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEassets/template.mdreferences/api-reference.mdstandards.mdworkflows.mdscripts/agent.pyprocess.py详细介绍
搜寻鱼叉式网络钓鱼指标
使用时机
- 在环境中主动搜寻鱼叉式网络钓鱼指标的相关迹象时
- 当威胁情报表明存在使用这些技术的活跃活动时
- 在事件响应期间，界定与这些技术相关的入侵范围时
- 当 EDR 或 SIEM 告警触发相关指标时
- 在定期安全评估和紫队演练期间
前置条件
- 具备进程和网络遥测能力的 EDR 平台（CrowdStrike、MDE、SentinelOne）
- 已摄取相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
- 已部署并配置完整配置的 Sysmon
- 已启用 Windows 安全事件日志转发
- 用于 IOC 关联的威胁情报源
工作流
- 提出假设：基于威胁情报或 ATT&CK 差距分析，定义可测试的假设。
- 确定数据源：确定验证或反驳该假设所需的日志和遥测数据。
- 执行查询：针对 SIEM 和 EDR 平台运行检测查询，以收集相关事件。
- 分析结果：检查查询结果中的异常，并跨多个数据源进行关联。
- 验证发现：通过上下文分析区分真阳性和假阳性。
- 关联活动：将发现与更广泛的攻击链和威胁行为者 TTP 关联起来。
- 记录并报告：记录发现，更新检测规则，并建议响应措施。
关键概念
| 概念 | 描述 |
|---|---|
| T1566.001 | 鱼叉式网络钓鱼附件 |
| T1566.002 | 鱼叉式网络钓鱼链接 |
| T1566.003 | 通过服务进行鱼叉式网络钓鱼 |
工具与系统
| 工具 | 用途 |
|---|---|
| CrowdStrike Falcon | EDR 遥测与威胁检测 |
| Microsoft Defender for Endpoint | 使用 KQL 进行高级搜寻 |
| Splunk Enterprise | 使用 SPL 查询进行 SIEM 日志分析 |
| Elastic Security | 检测规则与调查时间线 |
| Sysmon | 详细的 Windows 事件监控 |
| Velociraptor | 端点工件收集与搜寻 |
| Sigma Rules | 跨平台检测规则格式 |
常见场景
- 场景 1：启用宏的 Excel 执行 PowerShell 下载器
- 场景 2：HTML 走私投递带有 LNK 载荷的 ISO
- 场景 3：伪装成 SharePoint 通知的凭据窃取链接
- 场景 4：PDF 附件中的二维码钓鱼
输出格式
Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1566.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
评论
支持 Markdown