Collects, categorizes, and distributes Indicators of Compromise (IOCs) during/after security incidents for detection, blocking, and threat intel sharing. Covers network, host, email, behavioral IOCs using STIX/TAXII and MISP.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 在主动事件响应期间，识别并阻断对手基础设施
Collects, categorizes, and distributes indicators of compromise (IOCs) from network, host, email sources during security incidents using STIX/TAXII and platforms like MISP for detection and threat sharing.
Collects, categorizes, and shares indicators of compromise (IOCs) from security incidents using STIX/TAXII and platforms like MISP for detection and threat intelligence.
Extracts IoCs from malware samples including file hashes, network indicators (IPs, domains, URLs), host artifacts (paths, registry keys, mutexes), and behavior patterns for threat intelligence sharing and detection rules.
Share bugs, ideas, or general feedback.
不适用于没有配套技术指标的纯行为 TTP 分析；行为描述请使用 MITRE ATT&CK 映射。
从事件证据中跨所有类别收集指标：
网络指标：
主机指标：
邮件指标：
从每个证据来源系统性地提取指标：
从 SIEM/日志分析：
# 从防火墙日志中提取唯一目标 IP
index=firewall action=blocked
| stats count by dest_ip
| where count > 100
# 从 DNS 查询日志中提取域名
index=dns query=*evil* OR query=*c2*
| stats count by query
从内存取证：
# 提取网络连接
vol -f memory.raw windows.netscan | grep ESTABLISHED
# 从可疑进程内存中提取字符串
vol -f memory.raw windows.memmap --pid 3847 --dump
strings -n 8 pid.3847.dmp | grep -E "(http|https)://"
从恶意软件分析：
沙箱报告 IOC 提取：
- 释放的文件： 3 个（哈希已提取）
- DNS 查询： update.evil[.]com, cdn.malware[.]net
- HTTP 连接： POST 到 https://185.220.101[.]42/gate.php
- 修改的注册表： HKCU\Software\Microsoft\Windows\CurrentVersion\Run\svcupdate
- 创建的互斥量： Global\MTX_0x1234ABCD
- 命名管道： \\.\pipe\MSSE-1234-server
为每个指标添加威胁情报上下文：
IOC 情报丰富化报告：
━━━━━━━━━━━━━━━━━━━━━
IP: 185.220.101.42
VirusTotal: 12/89 家厂商标记为恶意
Shodan: 开放端口：443, 8443, 80
地理位置: 荷兰，AS208476
首次发现: 2025-10-01
威胁情报: 与 Qakbot C2 基础设施关联
置信度: 高
TLP: AMBER
域名: update.evil[.]com
注册时间: 2025-10-28（近期注册）
注册商: Namecheap
WHOIS 隐私: 是
VirusTotal: 8/89 家厂商标记为恶意
DNS 历史: 曾解析到 185.220.101.42, 91.215.85.17
置信度: 高
TLP: AMBER
为每个指标分配置信度和风险评分：
| 评分 | 置信度级别 | 标准 |
|---|---|---|
| 90-100 | 确认为恶意 | 多个 TI 来源确认，在主动攻击中被观察到 |
| 70-89 | 高度可疑 | 单一 TI 来源确认，行为分析支持 |
| 50-69 | 可疑 | TI 数据有限，上下文可疑 |
| 30-49 | 未确认 | 无 TI 匹配，但在环境中属于异常 |
| 0-29 | 可能为良性 | 误报指标或合法基础设施 |
将 IOC 推送到防御系统以提供即时保护：
将 IOC 打包为 STIX 2.1 格式进行共享：
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--a1b2c3d4-e5f6-7890-abcd-ef1234567890",
"created": "2025-11-15T18:00:00Z",
"modified": "2025-11-15T18:00:00Z",
"name": "Qakbot C2 服务器 IP",
"indicator_types": ["malicious-activity"],
"pattern": "[ipv4-addr:value = '185.220.101.42']",
"pattern_type": "stix",
"valid_from": "2025-11-15T14:23:00Z",
"confidence": 95,
"labels": ["c2", "qakbot"],
"object_marking_refs": ["marking-definition--f88d31f6-486f-44da-b317-01333bde0b82"]
}
按共享协议提交到 MISP、ISAC 门户和 TAXII 服务器。
| 术语 | 定义 |
|---|---|
| IOC（失陷指标） | 安全事件期间观察到的、表明对手存在的技术产物（哈希、IP、域名等） |
| TLP（流量灯协议） | 威胁情报共享限制分类标准：WHITE、GREEN、AMBER、AMBER+STRICT、RED |
| STIX（结构化威胁信息表达） | 以结构化、机器可读格式表示网络威胁情报的标准语言 |
| TAXII（可信自动化情报交换信息） | 在组织间共享 STIX 格式威胁情报的传输协议 |
| 置信度评分 | 表示分析师确信某指标为真实恶意的数字评级（0-100） |
| IOC 生命周期 | 创建、验证、分发并最终在指标失去相关性时予以退役的过程 |
| 去毒化（Defanging） | 在报告中修改恶意 URL 和域名以防止意外点击的做法（例如 evil[.]com） |
场景背景：在响应 Qakbot 感染并导致 Cobalt Strike 部署后，IR 团队必须将所有 IOC 打包并与金融服务 ISAC（FS-ISAC）共享。
方法：
常见陷阱：
失陷指标报告
================================
事件: INC-2025-1547
日期: 2025-11-15
TLP: AMBER
共享对象: FS-ISAC, 内部 SOC
网络指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
IPv4 | 185.220.101[.]42 | 95 | Qakbot C2 服务器
IPv4 | 91.215.85[.]17 | 90 | Cobalt Strike C2
域名 | update.evil[.]com | 95 | 暂存域名
URL | hxxps://185.220[.]101.42/gate.php| 95 | C2 签到地址
JA3 | a0e9f5d64349fb13191bc7... | 80 | Qakbot TLS 指纹
主机指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
SHA-256 | a1b2c3d4e5f6... | 100 | Qakbot 加载器
SHA-256 | b2c3d4e5f6a7... | 100 | Cobalt Strike 信标
文件路径 | C:\Users\*\AppData\Local\Temp\update.exe | 85 | 加载器位置
注册表键 | HKCU\...\Run\svcupdate | 90 | 持久化
互斥量 | Global\MTX_0x1234ABCD | 95 | Qakbot 实例锁
计划任务 | WindowsUpdate | 90 | 计划任务持久化
邮件指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
发件人 | billing@spoofed[.]com | 95 | 钓鱼发件人
主题 | "Invoice-Nov2025" | 70 | 钓鱼主题行
哈希 | c3d4e5f6a7b8... | 100 | 恶意 .docm 附件
总计：14 个指标 | 高置信度平均值：91