Analyzes indicators of compromise (IOCs) including IP addresses, domains, file hashes, URLs, and email artifacts to determine malice confidence, threat attribution, and blocking priority. For triaging phishing emails, security alerts, or threat intel.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Analyzes IOCs including IP addresses, domains, file hashes, URLs, email artifacts for maliciousness confidence, campaign attribution, blocking priority. For triaging phishing IOCs, security alerts, threat feeds.
Analyzes IOCs including IPs, domains, file hashes, URLs, and emails for maliciousness confidence, campaign attribution, and blocking priority. Use for triaging phishing IOCs, security alerts, or enriching threat feeds with VirusTotal, AbuseIPDB, MISP.
Collects, categorizes, and distributes Indicators of Compromise (IOCs) during/after security incidents for detection, blocking, and threat intel sharing. Covers network, host, email, behavioral IOCs using STIX/TAXII and MISP.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
不适用于将本技能单独用于高风险封锁决策——始终将自动化富化与分析师判断结合使用，特别是对于共享基础设施（CDN、云服务商）的情况。
requests 和 vt-py 库的 Python，或带有预构建连接器的 SOAR 平台在富化之前，对每个 IOC 进行分类：
evil[.]com），使用 tldextract 提取注册域名在文档中对 IOC 进行去激活处理（将 . 替换为 [.]，将 :// 替换为 [://]），防止意外点击。
VirusTotal（文件哈希、URL、IP、域名）：
import vt
client = vt.Client("YOUR_VT_API_KEY")
# 文件哈希查询
file_obj = client.get_object(f"/files/{sha256_hash}")
detections = file_obj.last_analysis_stats
print(f"Malicious: {detections['malicious']}/{sum(detections.values())}")
# 域名分析
domain_obj = client.get_object(f"/domains/{domain}")
print(domain_obj.last_analysis_stats)
print(domain_obj.reputation)
client.close()
AbuseIPDB（IP 地址）：
import requests
response = requests.get(
"https://api.abuseipdb.com/api/v2/check",
headers={"Key": "YOUR_KEY", "Accept": "application/json"},
params={"ipAddress": "1.2.3.4", "maxAgeInDays": 90}
)
data = response.json()["data"]
print(f"Confidence: {data['abuseConfidenceScore']}%, Reports: {data['totalReports']}")
MalwareBazaar（文件哈希）：
response = requests.post(
"https://mb-api.abuse.ch/api/v1/",
data={"query": "get_info", "hash": sha256_hash}
)
result = response.json()
if result["query_status"] == "ok":
print(result["data"][0]["tags"], result["data"][0]["signature"])
在 MISP 中查询匹配 IOC 的现有事件：
from pymisp import PyMISP
misp = PyMISP("https://misp.example.com", "API_KEY")
results = misp.search(value="evil-domain.com", type_attribute="domain")
for event in results:
print(event["Event"]["info"], event["Event"]["threat_level_id"])
使用 Shodan 获取 IP 上下文（托管服务商、开放端口、Banner 信息），识别 IP 是否属于防弹托管（Bulletproof Hosting）或合法云服务商（存在误报风险）。
应用分层决策框架：
在 TIP/MISP 中记录发现结果，包含：
以适当置信度字段导出为 STIX 指标（indicator）对象。
| 术语 | 定义 |
|---|---|
| IOC（失陷指标） | 表明潜在失陷的可观测网络或主机工件 |
| 富化（Enrichment） | 从多个情报来源向原始 IOC 添加上下文数据的过程 |
| 去激活（Defanging） | 修改 IOC（将 . 替换为 [.]）以防止在文档中意外激活 |
| 误报率（False Positive Rate） | 被错误标记为恶意的良性工件百分比；对于调整封锁阈值至关重要 |
| 黑洞（Sinkhole） | 将恶意域名查询重定向到良性 IP 的 DNS 服务器，用于在不完全封锁流量的情况下进行检测 |
| TTL | IOC 在封锁控制中的存活时间；IP 指标应在 30 天后过期，域名在 90 天后过期 |