Analyzes structured and unstructured CTI feeds to extract actionable IOCs, adversary tactics, and attack context. For importing feeds, STIX 2.1 normalization, quality assessment, and IOC enrichment.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Analyzes threat intelligence feeds to extract IOCs, adversary tactics, and context. Normalizes heterogeneous formats to STIX 2.1, evaluates feed quality, and enriches for CTI pipelines.
Analyzes threat intelligence feeds to extract IOCs, adversary tactics, and context. Normalizes to STIX 2.1, evaluates quality for platforms like ThreatConnect, MISP, Recorded Future.
Builds automated threat intelligence pipelines integrating STIX/TAXII sources, open-source feeds like Abuse.ch, and commercial platforms into SIEM for real-time IOC matching and alerting. For SOC teams standardizing and distributing TI.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
不适用于未建立 CTI 基线时进行原始数据包捕获分析或实时事件分诊。
按类型列出所有可用情报（商业、政府、ISAC、OSINT）：
对每个情报从以下维度打分：更新频率、历史准确率、对您所在行业的覆盖度、以及溯源深度。使用基于 NIST SP 800-150（网络威胁信息共享指南）标准的加权评分矩阵。
对于支持 TAXII 的情报：
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
对于 REST API 情报（如 Recorded Future）：
risk_score_min=65 查询 /v2/indicator/search 以过滤低置信度 IOC使用 OASIS 标准架构将每个 IOC 转换为 STIX 2.1 对象：
pattern: "[ipv4-addr:value = '...']" 的 indicator 对象pattern: "[domain-name:value = '...']" 的 indicatorpattern: "[file:hashes.SHA-256 = '...']" 的 indicator附加 relationship 对象，将指标链接到 threat-actor 或 malware 对象。根据来源准确率评级设置 confidence 字段（0-100）。
使用规范化后的值+类型作为复合键，针对 TIP 现有数据库进行去重。对保留的 IOC 进行富化：
通过 TAXII 2.1 推送将富化后的指标导出到 SIEM（Splunk、Microsoft Sentinel）、防火墙（Palo Alto XSOAR Playbook）和 EDR 平台。按指标类型设置 TTL：IP 地址 30 天、域名 90 天、文件哈希 1 年。
| 术语 | 定义 |
|---|---|
| STIX 2.1 | 结构化威胁信息表达式——OASIS 标准 JSON 架构，用于 CTI 对象（指标、威胁行为者、攻击活动和关系） |
| TAXII 2.1 | 情报信息可信自动交换——基于 HTTPS 的协议，用于在服务器和客户端之间共享 STIX 内容 |
| IOC（失陷指标） | 表明系统可能已被攻陷的可观测工件（IP、域名、哈希、URL） |
| TLP | 流量灯协议——以颜色编码分类（RED/AMBER/GREEN/WHITE），定义 CTI 的共享限制 |
| 置信度分数 | STIX 中的数值（0-100），反映生产者对指标恶意溯源的确信程度 |
| 情报准确性 | 以生产检测中真正例率衡量的情报历史准确率 |