Correlates security events, IOCs, and adversary behaviors across time and organizations to identify unified threat campaigns, attribute to common actors, and extract shared indicators for detection. For overlapping IOCs, cross-org analysis, event clustering, or MISP correlations.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Correlates security incidents, IOCs, and adversary behaviors across organizations and time to identify threat campaigns, attribute actors, and extract shared indicators. For incident clustering, cross-org IOC analysis, and campaign reports.
Correlates security incidents, IOCs, and adversary behaviors across organizations and time to identify threat campaigns, attribute actors, and extract indicators for detection.
Applies Diamond Model to structure intrusions into adversary, capability, infrastructure, and victim vertices with relationships for investigation, attribution, and event clustering to common threat actors. For post-incident analysis and threat intel products.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
请勿使用本技能基于弱信号强制进行关联——错误的活动归因会误导防御者，并在错误的威胁模型上浪费资源。
从以下来源收集所有候选关联事件：
将所有事件规范化为 STIX 2.1 架构，使用一致的时间戳（UTC）、指标类型和置信度分数。确保所有指标具有来源归因和收集日期。
在四个维度上系统地进行枢纽分析：
基础设施枢纽：
能力枢纽：
时间枢纽：
受害者学枢纽：
为活动归因应用加权评分：
def calculate_campaign_confidence(events: list) -> float:
scores = []
# 基础设施重叠（最高权重——最具区分性）
infra_overlap = count_shared_infra(events) / len(events)
scores.append(infra_overlap * 40)
# 能力重叠（高权重——TTP 持久性强）
capability_overlap = count_shared_ttps(events) / len(events)
scores.append(capability_overlap * 35)
# 时间接近度（中等权重）
temporal_score = assess_temporal_clustering(events)
scores.append(temporal_score * 15)
# 受害者学一致性（较低权重——许多行为者针对相同行业）
victim_score = assess_victim_pattern(events)
scores.append(victim_score * 10)
total = sum(scores)
if total >= 70: return "HIGH"
elif total >= 45: return "MEDIUM"
else: return "LOW"
在 OpenCTI 或 Maltego 中构建活动图谱：
为每个关系标注证据参考和置信度。
构建活动报告结构：
| 术语 | 定义 |
|---|---|
| 活动（Campaign） | STIX 对象，表示在定义时间段内具有共同目标的对抗性行为分组 |
| 入侵集合（Intrusion Set） | STIX 对象，按共同目标对相关入侵活动进行分组，即使行为者身份不确定 |
| 枢纽（Pivot） | 使用单个数据点（IOC、基础设施、TTP）发现相关事件或对手痕迹 |
| 聚类（Clustering） | 基于特征相似性对事件进行机器学习或人工分组，以识别活动边界 |
| 错误关联（False Correlation） | 因共享基础设施（CDN、共享托管）或通用工具导致不相关事件被错误关联 |