mcpField
H
hunting-for-unusual-network-connections

hunting-for-unusual-network-connections

github.com/mukul975安全35.2k79 次安装8 周前更新
代码仓库

关于 hunting-for-unusual-network-connections

这项安全狩猎技能利用终端和 SIEM 遥测调查异常网络连接，引导分析人员从提出假设、查询数据，到验证发现并记录响应建议。

主要功能

  1. 01制定可检验的狩猎假设
  2. 02识别相关遥测来源
  3. 03查询 SIEM 和 EDR 数据
  4. 04关联多个数据源中的活动
  5. 05验证并记录调查发现

适用场景

  1. 01调查疑似命令与控制流量
  2. 02狩猎基于 DNS 的数据外泄
  3. 03排查失陷主机发起的内部网络扫描
  4. 04在事件响应中评估告警

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-unusual-network-connections

安装后在 Claude Code 中输入/hunting-for-unusual-network-connections确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

排查异常网络连接

使用场景

  • 主动排查环境中异常网络连接的迹象时
  • 威胁情报显示正在利用这些技术开展活跃攻击活动后
  • 事件响应期间，评估与这些技术相关的失陷范围时
  • EDR 或 SIEM 针对相关迹象触发告警时
  • 定期安全评估和紫队演练期间

先决条件

  • 配备进程和网络遥测数据的 EDR 平台（CrowdStrike、MDE、SentinelOne）
  • 已接入相关日志数据的 SIEM（Splunk、Elastic、Sentinel）
  • 已部署并采用全面配置的 Sysmon
  • 已启用 Windows 安全事件日志转发
  • 用于 IOC 关联分析的威胁情报源

工作流

  1. 制定假设：根据威胁情报或 ATT&CK 差距分析，定义可验证的假设。
  2. 确定数据源：确定验证或证伪假设所需的日志和遥测数据。
  3. 执行查询：在 SIEM 和 EDR 平台上运行检测查询，以收集相关事件。
  4. 分析结果：检查查询结果以发现异常，并关联多个数据源的信息。
  5. 验证发现：通过上下文分析区分真阳性和误报。
  6. 关联活动：将发现与更广泛的攻击链和威胁行为者 TTP 关联起来。
  7. 记录并报告：记录发现、更新检测规则，并提出响应建议。

核心概念

概念描述
T1071应用层协议
T1095非应用层协议
T1571非标准端口

工具和系统

工具用途
CrowdStrike FalconEDR 遥测和威胁检测
Microsoft Defender for Endpoint使用 KQL 进行高级搜寻
Splunk Enterprise使用 SPL 查询分析 SIEM 日志
Elastic Security检测规则和调查时间线
Sysmon详细监控 Windows 事件
Velociraptor端点工件收集和威胁搜寻
Sigma Rules跨平台检测规则格式

常见场景

  1. 场景 1：后门通过非标准端口与 C2 通信
  2. 场景 2：通过 DNS 将数据外传至攻击者的名称服务器
  3. 场景 3：失陷主机扫描内部网络
  4. 场景 4：加密货币挖矿程序连接到矿池

输出格式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1071
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]

评论

支持 Markdown