Stats
Actions
Tags
Collects, categorizes, and distributes Indicators of Compromise (IOCs) during/after security incidents for detection, blocking, and threat intel sharing. Covers network, host, email, behavioral IOCs using STIX/TAXII and MISP.
How this skill is triggered — by the user, by Claude, or both
Slash command
/cybersecurity-skills-zh:collecting-indicators-of-compromiseThe summary Claude sees in its skill listing — used to decide when to auto-load this skill
- 在主动事件响应期间，识别并阻断对手基础设施
不适用于没有配套技术指标的纯行为 TTP 分析；行为描述请使用 MITRE ATT&CK 映射。
从事件证据中跨所有类别收集指标：
网络指标：
主机指标：
邮件指标：
从每个证据来源系统性地提取指标：
从 SIEM/日志分析：
# 从防火墙日志中提取唯一目标 IP
index=firewall action=blocked
| stats count by dest_ip
| where count > 100
# 从 DNS 查询日志中提取域名
index=dns query=*evil* OR query=*c2*
| stats count by query
从内存取证：
# 提取网络连接
vol -f memory.raw windows.netscan | grep ESTABLISHED
# 从可疑进程内存中提取字符串
vol -f memory.raw windows.memmap --pid 3847 --dump
strings -n 8 pid.3847.dmp | grep -E "(http|https)://"
从恶意软件分析：
沙箱报告 IOC 提取：
- 释放的文件： 3 个（哈希已提取）
- DNS 查询： update.evil[.]com, cdn.malware[.]net
- HTTP 连接： POST 到 https://185.220.101[.]42/gate.php
- 修改的注册表： HKCU\Software\Microsoft\Windows\CurrentVersion\Run\svcupdate
- 创建的互斥量： Global\MTX_0x1234ABCD
- 命名管道： \\.\pipe\MSSE-1234-server
为每个指标添加威胁情报上下文：
IOC 情报丰富化报告：
━━━━━━━━━━━━━━━━━━━━━
IP: 185.220.101.42
VirusTotal: 12/89 家厂商标记为恶意
Shodan: 开放端口：443, 8443, 80
地理位置: 荷兰，AS208476
首次发现: 2025-10-01
威胁情报: 与 Qakbot C2 基础设施关联
置信度: 高
TLP: AMBER
域名: update.evil[.]com
注册时间: 2025-10-28（近期注册）
注册商: Namecheap
WHOIS 隐私: 是
VirusTotal: 8/89 家厂商标记为恶意
DNS 历史: 曾解析到 185.220.101.42, 91.215.85.17
置信度: 高
TLP: AMBER
为每个指标分配置信度和风险评分：
| 评分 | 置信度级别 | 标准 |
|---|---|---|
| 90-100 | 确认为恶意 | 多个 TI 来源确认，在主动攻击中被观察到 |
| 70-89 | 高度可疑 | 单一 TI 来源确认，行为分析支持 |
| 50-69 | 可疑 | TI 数据有限，上下文可疑 |
| 30-49 | 未确认 | 无 TI 匹配，但在环境中属于异常 |
| 0-29 | 可能为良性 | 误报指标或合法基础设施 |
将 IOC 推送到防御系统以提供即时保护：
将 IOC 打包为 STIX 2.1 格式进行共享：
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--a1b2c3d4-e5f6-7890-abcd-ef1234567890",
"created": "2025-11-15T18:00:00Z",
"modified": "2025-11-15T18:00:00Z",
"name": "Qakbot C2 服务器 IP",
"indicator_types": ["malicious-activity"],
"pattern": "[ipv4-addr:value = '185.220.101.42']",
"pattern_type": "stix",
"valid_from": "2025-11-15T14:23:00Z",
"confidence": 95,
"labels": ["c2", "qakbot"],
"object_marking_refs": ["marking-definition--f88d31f6-486f-44da-b317-01333bde0b82"]
}
按共享协议提交到 MISP、ISAC 门户和 TAXII 服务器。
| 术语 | 定义 |
|---|---|
| IOC（失陷指标） | 安全事件期间观察到的、表明对手存在的技术产物（哈希、IP、域名等） |
| TLP（流量灯协议） | 威胁情报共享限制分类标准：WHITE、GREEN、AMBER、AMBER+STRICT、RED |
| STIX（结构化威胁信息表达） | 以结构化、机器可读格式表示网络威胁情报的标准语言 |
| TAXII（可信自动化情报交换信息） | 在组织间共享 STIX 格式威胁情报的传输协议 |
| 置信度评分 | 表示分析师确信某指标为真实恶意的数字评级（0-100） |
| IOC 生命周期 | 创建、验证、分发并最终在指标失去相关性时予以退役的过程 |
| 去毒化（Defanging） | 在报告中修改恶意 URL 和域名以防止意外点击的做法（例如 evil[.]com） |
场景背景：在响应 Qakbot 感染并导致 Cobalt Strike 部署后，IR 团队必须将所有 IOC 打包并与金融服务 ISAC（FS-ISAC）共享。
方法：
常见陷阱：
失陷指标报告
================================
事件: INC-2025-1547
日期: 2025-11-15
TLP: AMBER
共享对象: FS-ISAC, 内部 SOC
网络指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
IPv4 | 185.220.101[.]42 | 95 | Qakbot C2 服务器
IPv4 | 91.215.85[.]17 | 90 | Cobalt Strike C2
域名 | update.evil[.]com | 95 | 暂存域名
URL | hxxps://185.220[.]101.42/gate.php| 95 | C2 签到地址
JA3 | a0e9f5d64349fb13191bc7... | 80 | Qakbot TLS 指纹
主机指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
SHA-256 | a1b2c3d4e5f6... | 100 | Qakbot 加载器
SHA-256 | b2c3d4e5f6a7... | 100 | Cobalt Strike 信标
文件路径 | C:\Users\*\AppData\Local\Temp\update.exe | 85 | 加载器位置
注册表键 | HKCU\...\Run\svcupdate | 90 | 持久化
互斥量 | Global\MTX_0x1234ABCD | 95 | Qakbot 实例锁
计划任务 | WindowsUpdate | 90 | 计划任务持久化
邮件指标
类型 | 值 | 置信度 | 上下文
---------|----------------------------------|--------|--------
发件人 | billing@spoofed[.]com | 95 | 钓鱼发件人
主题 | "Invoice-Nov2025" | 70 | 钓鱼主题行
哈希 | c3d4e5f6a7b8... | 100 | 恶意 .docm 附件
总计：14 个指标 | 高置信度平均值：91
npx claudepluginhub killvxk/cybersecurity-skills-zhCollects, categorizes, and distributes indicators of compromise (IOCs) from network, host, and email sources during incident response, supporting STIX/TAXII formats and threat intelligence sharing.
Collects, categorizes, and distributes indicators of compromise (IOCs) from network, host, and email evidence during incident response. Supports STIX/TAXII export and threat intelligence sharing.
Collects, categorizes, and distributes indicators of compromise (IOCs) from network, host, email sources during security incidents using STIX/TAXII and platforms like MISP for detection and threat sharing.