Develops threat actor profiles for APT, crime, and hacker groups by aggregating MITRE ATT&CK TTPs, historical activities, tool fingerprints, and intel sources. Useful for threat modeling, management reports, and defense prioritization.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况使用本技能：
Develops threat actor profiles for APT groups, criminals, and hacktivists by aggregating TTPs, campaigns, tooling, and attribution from MITRE ATT&CK, Mandiant, CrowdStrike. For threat modeling, executive briefings, defensive controls.
Develops threat actor profiles for APT groups, criminals, and hacktivists using MITRE ATT&CK, Mandiant, CrowdStrike data on TTPs, campaigns, and tooling. For threat modeling, briefings, and defense prioritization.
Builds threat actor profiles from OSINT sources like vendor reports, paste sites, dark web forums, and APIs; uses Maltego, SpiderFoot, Python scripts to map motives, TTPs, infrastructure for attribution and defense.
Share bugs, ideas, or general feedback.
在以下情况使用本技能：
不适用于实时事件归因——活跃事件期间的归因工作应次于遏制处置。画像完善发生在事件后阶段。
将您组织的行业、地理位置和技术栈与已知对手定向模式进行交叉比对。来源：
根据行业匹配度和近期活动，初筛 5-10 个最可能针对您组织的组织。
对每个对手，按标准维度记录：
身份：ATT&CK 组织 ID（如 APT29 为 G0016）、别名（Cozy Bear、The Dukes、Midnight Blizzard）、疑似国家级赞助商
动机：间谍活动、经济利益、破坏行动、知识产权窃取
定向范围：行业、地理位置、组织规模、技术目标（OT/IT、云、供应链）
能力：定制恶意软件（如 APT29 的 SUNBURST、MiniDuke）、零日漏洞与已知 CVE 利用、供应链攻击能力
活动历史：带日期的重大行动（SolarWinds 2020, Exchange Server 2021 等）
按 ATT&CK 阶段的 TTP：每个战术阶段记录前 5 个技术
使用 mitreattack-python：
from mitreattack.stix20 import MitreAttackData
mitre = MitreAttackData("enterprise-attack.json")
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
techniques = mitre.get_techniques_used_by_group(apt29)
profile = {}
for item in techniques:
tech = item["object"]
tid = tech["external_references"][0]["external_id"]
tactic = [p["phase_name"] for p in tech.get("kill_chain_phases", [])]
profile[tid] = {"name": tech["name"], "tactics": tactic}
将对手技术列表与您的检测覆盖矩阵（来自 ATT&CK Navigator 层）进行比对。识别：
为不同受众构建最终画像：
内部分发标记 TLP:AMBER；外部共享前寻求 ISAC 批准。
| 术语 | 定义 |
|---|---|
| APT | 高级持续性威胁（Advanced Persistent Threat）——资源充足、技术精湛的对手（通常是国家级或高级犯罪组织），开展长期定向行动 |
| TTPs | 战术、技术和程序（Tactics, Techniques, Procedures）——对手组织的行为指纹，比频繁变化的 IOC 更具持久性 |
| 别名 | 威胁行为者在不同厂商处有不同命名（APT29 = Cozy Bear = The Dukes = Midnight Blizzard = YTTRIUM） |
| 归因 | 将攻击与特定威胁行为者关联的过程；需要多个独立的佐证数据点，具有固有不确定性 |
| 集群 | 一组相关的入侵活动，可能可归因也可能无法归因于单一行为者；在归因不确定时使用 |
| 入侵集合 | STIX SDO 类型，代表具有共同目标的一组对抗性行为，即使行为者身份未知 |