Incident Triage

llm-trading-agent-security ist ein praxisnaher Leitfaden zur Absicherung autonomer Trading-Agenten mit Wallet-Befugnissen. Er behandelt Prompt Injection, Ausgabelimits, Simulation vor dem Senden, Circuit Breaker, MEV-bewusste Ausführung und die Isolierung von Schlüsseln, um das Risiko finanzieller Verluste in einem Security Audit zu senken.

Das memory-forensics Skill unterstützt bei RAM-Erfassung und Dump-Analyse mit Volatility 3. Behandelt Installationskontext, typische Arbeitsabläufe, Artefakt-Extraktion und Incident-Triage für Windows-, Linux-, macOS- und VM-Speicher.

postmortem-writing unterstützt Teams dabei, blameless Incident-Postmortems mit Zeitleisten, Root-Cause-Analyse, beitragenden Faktoren, Auswirkungen und umsetzbaren Folgemaßnahmen zu erstellen – für die Berichtserstellung nach Ausfällen oder Beinahevorfällen.

Lernen Sie die Skill on-call-handoff-patterns für zuverlässige Schichtübergaben kennen. Nutzen Sie sie, um Incident-Übergaben zu strukturieren sowie aktive Probleme, aktuelle Änderungen, den Eskalationsstatus und nächste Schritte für Reliability-Teams festzuhalten.

incident-runbook-templates unterstützt Teams dabei, strukturierte Incident-Response-Runbooks mit klaren Schritten für Triage, Eindämmung, Eskalation, Kommunikation und Wiederherstellung bei Ausfällen und operativen Playbooks zu erstellen.

detecting-shadow-it-cloud-usage hilft dabei, nicht autorisierte SaaS- und Cloud-Nutzung anhand von Proxy-Logs, DNS-Queries und Netflow zu erkennen. Es klassifiziert Domains, vergleicht sie mit freigegebenen Listen und unterstützt Security-Audit-Workflows mit strukturierten Belegen aus dem detecting-shadow-it-cloud-usage skill guide.

detecting-service-account-abuse ist eine Threat-Hunting-Skill zum Aufspüren von Missbrauch von Servicekonten in Windows-, AD-, SIEM- und EDR-Telemetrie. Der Fokus liegt auf verdächtigen interaktiven Anmeldungen, Rechteausweitung, lateraler Bewegung und Zugriffsanomalien – mit Hunt-Template, Event-IDs und Workflow-Referenzen für wiederholbare Untersuchungen.

Building IOC Defanging and Sharing Pipeline Skill zum Extrahieren von IOCs, zum Entschärfen von URLs, IPs, Domains, E-Mail-Adressen und Hashes sowie zum Konvertieren und Teilen als STIX 2.1 über TAXII oder MISP für Security-Audit- und Threat-Intel-Workflows.

building-incident-timeline-with-timesketch hilft DFIR-Teams dabei, in Timesketch kollaborative Incident-Timelines aufzubauen, indem Plaso-, CSV- oder JSONL-Beweise eingelesen, Zeitstempel normalisiert, Ereignisse miteinander korreliert und Angriffsketten für Triage und Reporting dokumentiert werden.

building-incident-response-playbook hilft Security-Teams, wiederverwendbare Incident-Response-Playbooks mit klaren Phasen, Entscheidungsbäumen, Eskalationskriterien, RACI-Zuordnung und SOAR-tauglicher Struktur zu erstellen. Es ist für die Dokumentation von Incident-Response-Prozessen, Workflows zur Incident-Triage und auditfähige operative Reaktionspläne gedacht.

detecting-modbus-protocol-anomalies hilft dabei, verdächtiges Verhalten in Modbus/TCP- und Modbus-RTU-Umgebungen in OT- und ICS-Netzwerken zu erkennen, darunter ungültige Funktionscodes, Zugriffe auf Register außerhalb des zulässigen Bereichs, abnormales Polling-Timing, nicht autorisierte Schreibzugriffe und fehlerhafte Frames. Nützlich für Security Audits und eine evidenzbasierte Triage.

Das detecting-business-email-compromise Skill unterstützt Analysten, SOC-Teams und Incident Responder dabei, BEC-Versuche mithilfe von E-Mail-Header-Prüfungen, Hinweisen auf Social Engineering, Detection-Logik und reaktionsorientierten Workflows zu erkennen. Nutzen Sie es als praktischen detecting-business-email-compromise Leitfaden für Triage, Validierung und Eindämmung.

detecting-beaconing-patterns-with-zeek hilft dabei, Intervalle in Zeek-`conn.log` zu analysieren, um C2-ähnliches Beaconing zu erkennen. Es nutzt ZAT, gruppiert Verbindungen nach Quelle, Ziel und Port und bewertet Muster mit geringer Jitter-Varianz anhand statistischer Prüfungen. Ideal für SOC, Threat Hunting, Incident Response und die Nutzung von detecting-beaconing-patterns-with-zeek in Security-Audit-Workflows.

detecting-azure-service-principal-abuse hilft dabei, verdächtige Aktivitäten von Microsoft Entra ID Service Principals in Azure zu erkennen, zu untersuchen und zu dokumentieren. Nutzen Sie es für Security Audits, Cloud Incident Response und Threat Hunting, um Änderungen an Anmeldeinformationen, Missbrauch von Admin-Zustimmungen, Rollenzuweisungen, Besitzpfade und Anomalien bei Anmeldungen zu prüfen.

analyzing-security-logs-with-splunk unterstützt bei der Untersuchung von Sicherheitsvorfällen in Splunk, indem Windows-, Firewall-, Proxy- und Authentifizierungs-Logs zu Zeitleisten und Belegen korreliert werden. Diese analyzing-security-logs-with-splunk Skill ist ein praxisnaher Leitfaden für Security Audits, Incident Response und Threat Hunting.

analyzing-ransomware-network-indicators hilft bei der Analyse von Zeek conn.log und NetFlow, um C2-Beaconing, TOR-Exit-Nodes, Exfiltration und verdächtige DNS-Aktivität für Security Audits und Incident Response zu erkennen.

analyzing-ransomware-leak-site-intelligence hilft dabei, Ransomware-Datenleakseiten zu überwachen, Opfer- und Gruppen-Signale zu extrahieren und strukturierte Threat Intelligence für Incident Response, Risikoanalysen in Branchen und Gegner-Tracking zu erstellen.

Skill zum Abfragen von Azure Monitor Activity Logs und Sign-in-Logs, um verdächtige Admin-Aktionen, Impossible Travel, Privilegienausweitung und Manipulationen an Ressourcen zu erkennen. Entwickelt für die Incident-Triage mit KQL-Mustern, einem klaren Ausführungspfad und praxisnahen Hinweisen zu Azure-Logtabellen.

analyzing-apt-group-with-mitre-navigator hilft Analysten dabei, APT-Gruppen-Taktiken in MITRE ATT&CK Navigator-Layer zu überführen – für Detection-Gap-Analysen, Threat Modeling und wiederholbare Threat-Intelligence-Workflows. Es enthält praxisnahe Hinweise für ATT&CK-Datenabfragen, das Erzeugen von Layern und den Vergleich der TTP-Abdeckung von Angreifern.

eradicating-malware-from-infected-systems ist eine Skill für die Cybersecurity-Vorfallsreaktion zur Entfernung von Malware, Backdoors und Persistenzmechanismen nach der Eindämmung. Sie bietet Workflow-Hinweise, Referenzdateien und Skripte für die Bereinigung von Windows- und Linux-Systemen, das Rotieren von Anmeldedaten, die Behebung der Ursache und die Validierung.

Analysieren Sie WAF- und Audit-Logs mit detecting-sql-injection-via-waf-logs, um SQL-Injection-Kampagnen zu erkennen. Entwickelt für Security-Audit- und SOC-Workflows, verarbeitet es ModSecurity-, AWS-WAF- und Cloudflare-Ereignisse, klassifiziert UNION SELECT-, OR 1=1-, SLEEP()- und BENCHMARK()-Muster, korreliert Quellen und liefert vorfallsorientierte Befunde.

detecting-privilege-escalation-attempts hilft beim Aufspüren von Privilege Escalation unter Windows und Linux, einschließlich Token-Manipulation, UAC-Bypass, unquoted service paths, Kernel-Exploits und sudo/doas-Missbrauch. Entwickelt für Threat-Hunting-Teams, die einen praxisnahen Workflow, Referenz-Queries und Hilfsskripte brauchen.

detecting-port-scanning-with-fail2ban hilft dabei, Fail2ban so zu konfigurieren, dass Portscans, SSH-Brute-Force-Versuche und Reconnaissance erkannt werden, verdächtige IPs gesperrt und Security-Teams benachrichtigt werden. Diese Skill passt zum Hardening und zu detecting-port-scanning-with-fail2ban im Rahmen von Security-Audit-Workflows und bietet praxisnahe Hinweise zu Logs, Jails, Filtern und sicherem Tuning.

detecting-pass-the-ticket-attacks hilft dabei, Kerberos-Pass-the-Ticket-Aktivitäten zu erkennen, indem Windows Security Event IDs 4768, 4769 und 4771 korreliert werden. Nutzen Sie es für Threat Hunting in Splunk oder Elastic, um Ticket-Reuse, RC4-Downgrades und ungewöhnliche TGS-Volumina mit praxisnahen Queries und Feldhinweisen zu identifizieren.