Applies Diamond Model to structure intrusions into adversary, capability, infrastructure, and victim vertices with relationships for investigation, attribution, and event clustering to common threat actors. For post-incident analysis and threat intel products.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Implements Diamond Model for cyber intrusion analysis in Python: classifies events by adversary/capability/infrastructure/victim, builds activity threads and attack graphs with NetworkX. For threat intelligence from intrusion data.
Analyzes intrusions against Lockheed Martin Cyber Kill Chain to map adversary phases, defense gaps, and preventive controls for post-incident analysis and security planning.
Maps intrusion activity to Lockheed Martin Cyber Kill Chain phases, identifies completed stages, defense gaps, and preventive controls. For post-incident analysis, security control design, and detection mapping.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
请勿使用本技能进行主动事件遏制——菱形模型分析是事后或同步进行的情报活动，而非响应程序。
对手顶点：谁实施了活动？
能力顶点：使用了哪些工具和技术？
基础设施顶点：使用了哪些系统实施攻击？
受害者顶点：针对谁/什么？
记录顶点间的关系：
每条边至少应有两个独立数据点支撑（基于证据，而非推断）。
元特征提供超出四顶点的额外上下文：
时间戳：入侵每个阶段何时发生？映射到网络杀伤链阶段。
阶段：此活动代表哪个杀伤链阶段？
方向：攻击方向（外部到内部、内部到外部用于数据渗出）
结果：每个对手行动的结果（成功/失败/部分）
资源：对手投入的资源（时间、金钱、基础设施成本、零日使用）
应用菱形模型枢纽逻辑聚类相关事件：
事件 A：IP 185.220.101.x，域名 evil-redir[.]com，SUNBURST 恶意软件变种
事件 B：IP 185.220.101.y（同一 /24），域名 redir-evil[.]com，修改版 SUNBURST
→ 基础设施聚类（同一 /24 块）+ 能力聚类（同一恶意软件家族）= 高置信度同一行为者
以结构化格式记录分析：
| 术语 | 定义 |
|---|---|
| 菱形模型 | 入侵分析框架，包含四个顶点（对手、能力、基础设施、受害者），通过代表关系的边相连 |
| 活动线索 | 代表单一对手行动的按时间排列的菱形事件序列 |
| 活动组 | 通过共享顶点属性关联的菱形事件集群，表明存在共同对手 |
| 操作者 vs. 客户 | 菱形模型区分：操作者拥有键盘访问权限；客户指挥/资助行动 |
| 枢纽 | 使用已知顶点值发现其他相关事件或基础设施（例如一个 IP 揭示 20 多个 C2 域名） |
| ACH | 竞争假说分析——用于评估多个归因假说证据的结构化分析技术 |