Hunts advanced persistent threats (APTs) in enterprises using hypothesis-based searches across EDR telemetry, Zeek network logs, and memory artifacts with Velociraptor/osquery. For periodic hunting cycles, UEBA anomaly investigations, and TTP verification.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Hunts for Advanced Persistent Threats (APTs) in enterprise environments using hypothesis-driven searches on endpoint telemetry, network logs, and memory artifacts. For threat hunting cycles, UEBA investigations, and TTP validation.
Hunts Advanced Persistent Threats (APTs) via hypothesis-driven queries on endpoint telemetry, network logs, and memory artifacts using MITRE ATT&CK, Velociraptor, osquery, Zeek. For threat hunting cycles and anomaly probes.
Guides use of SentinelOne Purple AI for natural language cybersecurity investigations, threat hunting, behavioral anomaly analysis, MITRE ATT&CK TTP mapping, and PowerQuery generation via purple_ai tool.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
请勿使用本技能替代确认泄露正在进行时的事件响应——应上报至 IR 程序（NIST SP 800-61）。
使用 MITRE ATT&CK 组织（https://attack.mitre.org/groups/）选择与您所在行业相关的威胁行为者。查看该组织已知的 TTP 映射到 ATT&CK 技术。示例假设："APT29（Cozy Bear）使用带 ISO 附件的鱼叉式网络钓鱼（T1566.001）和离地攻击二进制文件（T1218）——测试异常的 mshta.exe 和 rundll32.exe 父子关系。"
使用威胁猎捕循环框架记录假设：假设 → 数据收集 → 模式分析 → 响应。
使用 ATT&CK 数据源分类将每个 ATT&CK 技术映射到所需日志源：
使用 ATT&CK 覆盖率计算器或自定义数据源矩阵验证日志覆盖情况。
Velociraptor VQL 猎捕异常 PowerShell 执行：
SELECT Pid, Ppid, Name, CommandLine, CreateTime
FROM pslist()
WHERE Name =~ "powershell.exe"
AND CommandLine =~ "-enc|-nop|-w hidden"
osquery 检测通过计划任务实现的持久化：
SELECT name, action, enabled, path
FROM scheduled_tasks
WHERE action NOT LIKE '%System32%'
AND enabled = 1;
Splunk SPL 检测通过 PsExec 的横向移动：
index=windows EventCode=7045 ServiceFileName="*PSEXESVC*"
| stats count by ComputerName, ServiceName, ServiceFileName
对于识别出的每个异常，在多个维度进行枢纽：
应用菱形模型（对手、能力、基础设施、受害者）构建调查发现。
如果猎捕发现确认的恶意活动，激活 IR 程序。如果猎捕发现缺口（猎捕未发现任何内容但数据覆盖不足），记录覆盖缺口并进行修复。
将成功的猎捕查询转换为 Sigma 格式的 SIEM 检测规则，以实现跨平台可移植性。
| 术语 | 定义 |
|---|---|
| TTP | 战术、技术和过程——MITRE ATT&CK 中定义的对手行为模式 |
| 菱形模型 | 包含四个顶点（对手、能力、基础设施、受害者）的分析框架，用于构建入侵分析 |
| 离地攻击（LotL） | 攻击者使用合法操作系统工具（PowerShell、WMI、certutil）规避检测的技术 |
| UEBA | 用户和实体行为分析——基于 ML 检测异常行为基线 |
| Sigma | 与 SIEM 无关的检测规则格式的开放标准，类似于网络/日志检测中的 YARA |
| 猎捕假设 | 基于威胁情报和环境知识，对对手存在的可测试预测 |