mcpField
P
performing-threat-emulation-with-atomic-red-team

performing-threat-emulation-with-atomic-red-team

github.com/mukul975安全35.2k70 次安装8 周前更新
代码仓库

关于 performing-threat-emulation-with-atomic-red-team

这是一项使用 atomic-operator 执行 Atomic Red Team 测试、依据 MITRE ATT&CK 检查检测覆盖情况的安全技能，面向在测试或实验环境中开展授权评估的人员。

主要功能

  1. 01运行 Atomic Red Team 技术测试
  2. 02选择与检测规则对应的测试
  3. 03检查 SIEM/EDR 告警
  4. 04记录检测缺口
  5. 05解析原子测试 YAML 定义

适用场景

  1. 01验证对指定 ATT&CK 技术的检测能力
  2. 02在实验环境中测试安全控制
  3. 03检查 SIEM/EDR 对模拟活动的响应
  4. 04识别缺口并更新检测规则

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-threat-emulation-with-atomic-red-team

安装后在 Claude Code 中输入/performing-threat-emulation-with-atomic-red-team确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 Atomic Red Team 进行威胁仿真

适用场景

  • 开展涉及使用 atomic red team 进行威胁仿真的安全评估时
  • 遵循相关安全事件的事件响应流程时
  • 执行定期安全测试或审计活动时
  • 通过动手测试验证安全控制时

前提条件

  • 熟悉威胁情报概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 已获得开展任何测试活动的适当授权

说明

使用 atomic-operator 执行 Atomic Red Team 测试，并根据 MITRE ATT&CK 技术验证检测覆盖范围。

from atomic_operator import AtomicOperator

operator = AtomicOperator()
# Run a specific technique test
operator.run(
    technique="T1059.001",  # PowerShell execution
    atomics_path="./atomic-red-team/atomics",
)

关键工作流：

  1. 克隆 atomic-red-team 仓库以获取测试定义
  2. 选择与检测规则匹配的 ATT&CK 技术
  3. 使用 atomic-operator 执行原子测试
  4. 在 SIEM/EDR 中检查相应告警
  5. 记录检测盲区并更新规则

示例

# Parse atomic test YAML definitions
import yaml
with open("atomics/T1059.001/T1059.001.yaml") as f:
    tests = yaml.safe_load(f)
for test in tests.get("atomic_tests", []):
    print(f"Test: {test['name']}")
    print(f"  Platforms: {test.get('supported_platforms', [])}")

评论

支持 Markdown