threat-hunting – skill Bảo mật cho agent AI

Săn mối đe dọa cho đội blue-team: kỹ thuật phát hiện với Sigma/YARA, thiết kế truy vấn SIEM và xác thực các phát hiện sự cố dựa trên mẫu kỹ thuật đã biết.

Bảo mậtSKILL.mdClaude Code · Codex · Hermes · DeepSeek

Cài skill threat-hunting bằng một lệnh

Chọn công cụ bạn đang dùng, copy lệnh và dán vào terminal. Skill sẽ nằm trong thư mục skills của công cụ đó và sẵn sàng dùng ở phiên làm việc tiếp theo.

Claude Code

mkdir -p ~/.claude/skills && curl -fsSL https://skill.dn1nguoi.com/z/threat-hunting-1bd2e.tgz | tar xz -C ~/.claude/skills

Gọi trong Claude Code: /threat-hunting – rồi mô tả công việc bạn muốn làm.

Codex

mkdir -p ~/.codex/skills && curl -fsSL https://skill.dn1nguoi.com/z/threat-hunting-1bd2e.tgz | tar xz -C ~/.codex/skills

Gọi trong Codex: $threat-hunting – rồi mô tả công việc bạn muốn làm.

Hermes Agent

mkdir -p ~/.hermes/skills && curl -fsSL https://skill.dn1nguoi.com/z/threat-hunting-1bd2e.tgz | tar xz -C ~/.hermes/skills

Gọi trong Hermes Agent: /threat-hunting – rồi mô tả công việc bạn muốn làm.

DeepSeek

mkdir -p ~/.deepcode/skills && curl -fsSL https://skill.dn1nguoi.com/z/threat-hunting-1bd2e.tgz | tar xz -C ~/.deepcode/skills

Gọi trong DeepSeek: /threat-hunting – rồi mô tả công việc bạn muốn làm.

Nội dung SKILL.md

Nội dung SKILL.md gốc bằng tiếng Anh.

Threat Hunting & Detection Engineering

When to Use

Proactively hunting for adversary activity in telemetry.
Writing or validating detection rules mapped to ATT&CK techniques.

适用场景

威胁狩猎（hypothesis-driven）
Sigma / YARA 检测工程
告警调优、误报分析
与 malware-analysis/：样本侧 IOC → 本 skill 落地检测
与 digital-forensics/：案件伪影 → 横向狩猎

工作流

1. 建假说

例：攻击者用 living-off-the-land 做横向
→ 数据源：Sysmon 1/3/10、Windows Security 4624/4648
→ 成功标准：发现异常父进程或罕见账户日志源

2. 查询与堆叠

□ 基线：正常管理员行为时段与主机
□ 异常：新服务、编码 PowerShell、异常出站
□ 关联：同账号多主机短时登录

3. 规则化

# Sigma 骨架见 malware-analysis；本 skill 强调：
# - 误报面
# - 数据源字段映射
# - 响应 playbook 链接

4. 验证

□ 原子测试（Atomic Red Team）仅在授权实验室
□ 回放历史日志验证召回

工具链

| 工具 | 用途 |

|------|------|

| Sigma CLI / sigmac | 规则转换 |

| YARA | 文件/内存 |

| SIEM（ELK/Splunk 等） | 查询 |

| osquery | 端点狩猎 |

| Atomic Red Team | 检测验证（实验室） |

参考

references/hunting-loop.md
../malware-analysis/references/yara-sigma-rules.md
../digital-forensics/

路由上下文

上游: MASTER R27

下游: 确认入侵 → forensics；恶意样本 → malware-analysis

MUST NOT: 在无授权生产环境跑攻击模拟

任务完成自检

[ ] 是否有明确假说与结论？
[ ] 规则是否注明误报与数据源？
[ ] Checklist？

Limitations

Hypothesis quality bounds results; weak telemetry yields weak hunts.
Rule tuning is continuous; expect false positives initially.

> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).

Skill liên quan

threat-intelligence – OSINT và threat intelligence được ủy quyền: làm giàu IOC, chiến dịch, mạo danh, lừa đảo…
threat-mitigation-mapping – Ánh xạ các mối đe dọa đã xác định sang kiểm soát bảo mật và biện pháp giảm thiểu phù…
threat-modeling – Thực hiện mô hình hóa mối đe dọa theo phương pháp STRIDE. Xác định các mối đe dọa, đánh…
threat-modeling-expert – Chuyên gia về các phương pháp mô hình hóa mối đe dọa, rà soát kiến trúc bảo mật và đánh…
top-web-vulnerabilities – Tài liệu tham khảo minh họa, có thể chồng lấp, về các mẫu lỗ hổng ứng dụng web phổ biến…
usage-engineer – Cắt giảm token lãng phí trong phiên coding agent: nén log dài, dừng việc thử lại giống…
vendor-management – Triển khai chương trình quản lý rủi ro nhà cung cấp. Đánh giá bảo mật bên thứ ba và duy…
vercel-optimize – Kiểm tra ứng dụng Vercel đã triển khai về chi phí và hiệu năng bằng số liệu, cấu hình…

← Xem tất cả skill