mcpField
P
profiling-threat-actor-groups

profiling-threat-actor-groups

github.com/mukul975安全35.2k50 次安装8 周前更新
代码仓库

关于 profiling-threat-actor-groups

面向安全团队的威胁情报技能，用于整理威胁组织并将其战术、技术和流程映射到 MITRE ATT&CK。它支持更新威胁模型、分析师简报、检测覆盖差距审查及按受众编制档案；不用于实时事件归因。

主要功能

  1. 01识别与行业相关的威胁组织
  2. 02记录动机、目标与攻击活动
  3. 03将 TTP 映射到 MITRE ATT&CK
  4. 04对照检测覆盖情况审查技术
  5. 05按受众编制威胁档案

适用场景

  1. 01更新组织威胁模型
  2. 02向管理层介绍相关对手
  3. 03协助 SOC 分析师查找检测缺口
  4. 04整理并分发威胁组织档案

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill profiling-threat-actor-groups

安装后在 Claude Code 中输入/profiling-threat-actor-groups确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析威胁行为者组织

何时使用

在以下情况使用本技能：

  • 使用近期观察到的针对你所在行业的对手组织画像更新组织的威胁模型
  • 准备关于与影响你业务的地缘政治事件相关的 APT 组织的高管简报
  • 帮助 SOC 分析师理解攻击者目标和 TTP，以改进检测调优

不要使用本技能进行实时事件归因 —— 在活跃事件期间，归因优先级应降低，以遏制为主。画像完善发生在事件之后。

先决条件

  • 可访问 MITRE ATT&CK Groups 数据库（https://attack.mitre.org/groups/）
  • 商业威胁情报订阅（Mandiant Advantage、CrowdStrike Falcon Intelligence 或 Recorded Future）
  • 针对特定行业的 ISAC 会员资格，以获取定向情报（FS-ISAC、H-ISAC、E-ISAC）
  • 结构化画像模板（见下方工作流）

工作流

步骤 1：识别相关威胁行为者

将你所在组织的行业、地理区域和技术栈与已知对手的 targeting 模式进行交叉比对。来源：

  • MITRE ATT&CK Groups：130+ 个已记录的民族国家和犯罪组织，附带 TTP 映射
  • CrowdStrike 年度威胁报告：按民族国家进行对手命名（BEAR=俄罗斯，PANDA=中国，KITTEN=伊朗，CHOLLIMA=朝鲜）
  • Mandiant M-Trends：包含特定行业 targeting 统计数据的年度报告
  • CISA 已知被利用漏洞（KEV）目录：识别被特定威胁行为者主动利用的漏洞

根据行业契合度和近期活动，筛选出 5–10 个最有可能针对你所在组织的组织。

步骤 2：收集画像数据

对每个对手，按标准维度记录：

身份：ATT&CK Group ID（例如 APT29 的 G0016）、别名（Cozy Bear、The Dukes、Midnight Blizzard）、疑似民族国家支持者

动机：间谍活动、经济利益、破坏、知识产权窃取

Targeting：行业、地理区域、组织规模、技术目标（OT/IT、云、供应链）

能力：自定义恶意软件（例如 APT29 的 SUNBURST、MiniDuke）、利用 0-day 与已知 CVE、供应链攻击能力

活动历史：带日期的著名行动（SolarWinds 2020、Exchange Server 2021 等）

按 ATT&CK 阶段划分的 TTP：记录每个战术阶段的前 5 项技术

步骤 3：将 TTP 映射到 ATT&CK

使用 mitreattack-python：

from mitreattack.stix20 import MitreAttackData

mitre = MitreAttackData("enterprise-attack.json")
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
techniques = mitre.get_techniques_used_by_group(apt29)

profile = {}
for item in techniques:
    tech = item["object"]
    tid = tech["external_references"][0]["external_id"]
    tactic = [p["phase_name"] for p in tech.get("kill_chain_phases", [])]
    profile[tid] = {"name": tech["name"], "tactics": tactic}
步骤 4：评估针对画像的检测覆盖率

将对手的技术列表与你的检测覆盖矩阵（来自 ATT&CK Navigator 层）进行比较。识别：

  • 该组织使用但你没有任何检测的技术（关键缺口）
  • 你有部分覆盖的技术（有日志但无告警）
  • 检测不可行时的补偿性控制措施（网络分段作为横向移动的缓解措施）
步骤 5：打包画像以供分发

为不同受众组织最终画像：

  • 高管摘要（1 页）：谁、动机、近期活动、对我组织的最大风险、建议的优先行动
  • SOC 分析师简报（3–5 页）：完整 TTP 列表及检测状态、IOC 列表、狩猎假设
  • 技术附录：YARA 规则、Sigma 检测、用于 TIP 导入的 STIX JSON 对象

内部传播标记为 TLP:AMBER；外部共享前寻求 ISAC 批准。

关键概念

术语定义
APTAdvanced Persistent Threat（高级持续性威胁）—— 资源充足、手段高超的攻击者（通常是国家背景或高度专业化的犯罪组织），长期开展针对性行动
TTPsTactics, Techniques, Procedures（战术、技术与过程）—— 攻击者组织的行为指纹，比频繁变化的 IOC 更持久
别名威胁行为者会从不同厂商处获得不同名称（APT29 = Cozy Bear = The Dukes = Midnight Blizzard = YTTRIUM）
归因将某次攻击与特定威胁行为者关联起来的过程；需要多个独立且相互印证的数据点，并带有固有的不确定性
集群一组相关的入侵活动，可能归因于单个行为者，也可能无法归因；在归因不确定时使用
入侵集合一种 STIX SDO 类型，表示具有共同目标的一组对抗行为，即使行为者身份未知

工具与系统

  • MITRE ATT&CK Groups：免费、由社区维护的数据库，收录 130 多个有记录的攻击者组织，并附有可引用的行动报告
  • Mandiant Advantage Threat Intelligence：商业平台，提供详细的 APT 画像、恶意软件家族和行动分析
  • CrowdStrike Falcon Intelligence：商业情报源，提供以攻击者为中心的画像和实时归因更新
  • Recorded Future Threat Intelligence：结合 OSINT、暗网和技术情报，用于攻击者画像
  • OpenCTI：基于图的可视化，展示威胁行为者关系、工具和行动关联

常见陷阱

  • 以 IOC 为中心的画像：围绕 IP 地址和域名而非 TTPs 构建画像，意味着随着基础设施轮换，画像会在几周内过时。
  • 厂商别名混淆：因共用恶意软件或基础设施而混淆两个不同的威胁行为者组织，会导致错误的威胁模型假设。
  • 二元归因：在归因本质上是概率性的时候，却把它当作确定无疑。始终要标明归因置信水平（低/中/高）。
  • 忽视内部人员和犯罪组织：过度关注国家背景的 APT，却忽视勒索软件组织（Cl0p、LockBit、ALPHV），而对大多数组织而言，后者代表更高概率的威胁。
  • 画像过时：攻击者的 TTPs 会演变。未按季度更新的画像可能会遗漏技术变化、新恶意软件或目标转移。

评论

支持 Markdown