Executes containment strategies to stop active adversaries during confirmed breaches, preventing lateral movement via network segmentation, endpoint isolation, credential revocation, and access controls. For incident response in live threats.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 已确认入侵正在进行，对手活跃于网络中
Contains active security breaches by isolating systems, blocking attacker comms via firewalls/DNS, quarantining endpoints with EDR, and preserving evidence. For live incident response.
Executes containment strategies for active security breaches using network segmentation, endpoint isolation, credential revocation, and access controls to halt lateral movement. For live incident response.
Executes incident response containment for active breaches: assesses scope, isolates endpoints via EDR, segments networks, revokes credentials to stop lateral movement.
Share bugs, ideas, or general feedback.
不适用于对手已不再活跃的事件后清理工作；此类情况请使用根除流程。
在采取遏制措施前，完整映射攻陷范围，以避免部分遏制而提醒对手：
遏制范围评估：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
受攻陷主机： 5 台（WKSTN-042、WKSTN-087、SRV-FILE01、SRV-DC02、WKSTN-103）
受攻陷账号： 3 个（jsmith、svc-backup、admin-tier0）
C2 通道： 每 60 秒 ±15% 抖动向 185.220.x.x 发起 HTTPS 信标
横向移动： 通过 svc-backup 使用 PsExec，通过 admin-tier0 使用 RDP
对手权限： 域管理员（admin-tier0 已受攻陷）
面临风险的数据：财务共享（\\SRV-FILE01\finance$）已被访问
在不销毁证据的情况下实施立即措施以阻止对手操作：
网络遏制：
身份遏制：
Revoke-AzureADUserAllRefreshToken）端点遏制：
在调查继续进行时实施可持续的遏制措施：
确认遏制措施已阻止对手操作：
遏制验证清单：
[x] 所有已知受攻陷主机的 C2 信标流量已停止
[x] 已禁用账号产生预期的 4625 失败事件（无新成功）
[x] 被遏制主机从相邻子网的网络扫描中无法到达
[x] 没有新的主机表现出初始攻陷的 IOC
[x] 蜜罐账号未被访问（对手可能处于休眠状态）
[ ] 完整数据包捕获在财务 VLAN 上运行（待交换机配置）
遏制不能销毁取证证据：
向事件指挥官和利益相关方提供结构化状态更新：
| 术语 | 定义 |
|---|---|
| 短期遏制（Short-Term Containment） | 阻止活跃对手操作的立即措施；通常是网络隔离和凭据禁用 |
| 长期遏制（Long-Term Containment） | 在调查继续进行时防止对手重新访问的可持续措施 |
| KRBTGT 双重重置（KRBTGT Double Reset） | 两次重置 KRBTGT 密码以使所有现有 Kerberos 票据失效，包括黄金票据 |
| 网络遏制（Network Containment） | EDR 功能，将端点与除 EDR 管理通道外的所有网络通信隔离 |
| 横向移动（Lateral Movement） | 对手使用窃取的凭据或漏洞利用在网络中从一个受攻陷系统移动到另一个系统的技术 |
| C2 Sinkholing | 将 C2 域名的 DNS 查询重定向到内部服务器，以防止对手通信并检测其他受害者 |
| 微分段（Microsegmentation） | 工作负载之间限制横向通信路径的细粒度网络访问控制 |
背景：EDR 告警三台文件服务器显示快速文件加密。勒索软件通过使用受攻陷域服务账号的 SMB 传播。
处理方法：
常见陷阱：
遏制状态报告
=========================
事件： INC-2025-1547
状态： 已遏制（短期）
时间戳： 2025-11-15T15:47:00Z
遏制负责人： [姓名]
已采取的措施
网络：
- [x] 5 台主机已通过 CrowdStrike 遏制隔离
- [x] C2 IP 185.220.x.x 已在边界防火墙阻断（规则 #4521）
- [x] C2 域名 evil.example[.]com 已 Sinkhole 到 10.0.0.99
身份：
- [x] jsmith 账号已禁用
- [x] svc-backup 账号已禁用，密码已轮换
- [x] admin-tier0 账号已禁用
- [x] KRBTGT 首次重置于 15:30 UTC 完成
端点：
- [x] 恶意哈希已在 EDR 阻断策略中阻断
- [x] 所有被遏制主机上的恶意进程已终止
保全的证据
- 内存转储：5 台主机中 3 台已完成
- 事件日志已导出：全部 5 台主机
- 网络捕获：在财务 VLAN 上运行
剩余风险
- 无 EDR 端点上可能存在未发现的植入程序（15 台旧版主机）
- KRBTGT 第二次重置待执行（计划 +1 天 03:30 UTC）
- 对手可能在遏制前已外泄数据
业务影响
- 财务文件共享离线（影响 42 名用户）
- 3 台用户工作站已隔离（用户已分配借用设备）
- 预计恢复：待根除完成后确定