mcpField
I
incident-response-forensics

incident-response-forensics

github.com/securityskills安全0175 次安装9 周前更新
代码仓库

关于 incident-response-forensics

面向安全团队的事件响应取证 skill，用于调查受影响系统。它强调先保全证据、只读采集，并以证据构建时间线和调查结论。

主要功能

  1. 01保全内存与磁盘证据
  2. 02采集易失系统及网络数据
  3. 03检查 Windows、Linux 和云端痕迹
  4. 04按置信度构建时间线
  5. 05报告 IOC 和 ATT&CK 攻击叙述

适用场景

  1. 01调查疑似系统入侵
  2. 02还原持久化与横向移动
  3. 03记录证据及根因假设

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/securityskills/skills --skill incident-response-forensics

安装后在 Claude Code 中输入/incident-response-forensics确认已加载。

详细介绍

事件响应取证

在不破坏证据的前提下收集并分析证据。

1. 先保全，再检查

  • 先获取内存转储（在运行高负载进程之前）：WinPMem、LiME 或供应商快照
  • 通过写保护器制作磁盘镜像，或使用经验证的云快照；为所有内容计算哈希（SHA-256），记录证据保管链
  • 收集网络证据：防火墙／流量日志、可用时的 PCAP、代理和 DNS 日志
  • 除只读采集外，绝不要在运行中的系统上进行调查——攻击者的工具会察觉

2. 易失性数据采集顺序

  1. 网络连接、路由表
  2. 运行中的进程和服务、已加载的模块
  3. 已登录会话、剪贴板（如果有交互）
  4. 命令历史记录、计划任务、自动启动项

3. 工件分析

Windows
  • Shimcache／Amcache、Prefetch、SRUM：执行历史记录
  • 事件日志：4624／4625（登录）、4688（进程创建）、7045（服务安装）、PowerShell 4104
  • 注册表：Run 键、Services、用于文件删除的 USN 日志
  • 横向移动：RDP 日志（4776／4624 类型 3）、计划任务、WMI 活动
Linux
  • /var/log/auth.log、journalctl、.bash_history、wtmp／last
  • Cron、systemd 定时器、/etc 中的 LD_PRELOAD、不可变位异常
  • authorized_keys 中未授权的 SSH 密钥、passwd 修改
云
  • CloudTrail／数据平面日志、异常的 AssumeRole 链、新建访问密钥
  • 区分控制平面与数据平面的时间线

4. 构建时间线

  • 将所有工件标准化，汇总为超级时间线（类似 log2timeline／PlutoScope）
  • 以初始访问指标为锚点，向前追踪（持久化、扩散、数据外传），向后追踪（侦察、投递）
  • 将事实与推断分开；标注置信度

输出

  • 附带上下文的 IOC（哈希、IP、域名、首次／最后发现时间）
  • 映射到 ATT&CK 战术的攻击叙述，并为每个步骤引用证据
  • 附有支持和反驳证据的根因假设

评论

支持 Markdown