Threat Intelligence

Skill de building-ioc-defanging-and-sharing-pipeline para extraer IOC, desarmar URLs, IP, dominios, correos y hashes, y luego convertirlos y compartirlos como STIX 2.1 mediante TAXII o MISP para flujos de trabajo de auditoría de seguridad e inteligencia de amenazas.

building-incident-timeline-with-timesketch ayuda a equipos DFIR a crear líneas de tiempo colaborativas de incidentes en Timesketch mediante la ingesta de evidencias en Plaso, CSV o JSONL, la normalización de marcas de tiempo, la correlación de eventos y la documentación de cadenas de ataque para la triage y la elaboración de informes de incidentes.

La skill de detección de comportamiento de malware móvil analiza apps sospechosas de Android e iOS para detectar abuso de permisos, actividad en tiempo de ejecución, indicadores de red y patrones propios de malware. Úsala para triaje, respuesta a incidentes y detección de comportamiento de malware móvil en flujos de trabajo de auditoría de seguridad, con análisis móviles respaldados por evidencia.

La skill de detección de BEC ayuda a analistas, equipos SOC y responsables de respuesta a incidentes a identificar intentos de Business Email Compromise (BEC) mediante comprobaciones de encabezados de correo, indicios de ingeniería social, lógica de detección y flujos de trabajo orientados a la respuesta. Úsala como una guía práctica de detección de BEC para tareas de triaje, validación y contención.

detecting-beaconing-patterns-with-zeek ayuda a analizar intervalos de `conn.log` de Zeek para detectar beaconing de estilo C2. Usa ZAT, agrupa flujos por origen, destino y puerto, y puntúa patrones de baja variación con comprobaciones estadísticas. Es ideal para SOC, threat hunting, respuesta a incidentes y flujos de trabajo de auditoría de seguridad con detecting-beaconing-patterns-with-zeek.

analyzing-supply-chain-malware-artifacts es una skill de análisis de malware para rastrear actualizaciones troyanizadas, dependencias envenenadas y manipulación de canales de compilación. Úsala para comparar artefactos confiables y no confiables, extraer indicadores, evaluar el alcance de la intrusión y redactar hallazgos con menos conjeturas.

analyzing-ransomware-network-indicators ayuda a analizar `conn.log` de Zeek y NetFlow para detectar beaconing de C2, salidas TOR, exfiltración y DNS sospechoso en auditorías de seguridad y respuesta a incidentes.

analyzing-ransomware-payment-wallets es una skill de análisis forense blockchain en modo solo lectura para rastrear wallets de pago de ransomware, seguir el movimiento de fondos y agrupar direcciones relacionadas para auditorías de seguridad y respuesta a incidentes. Úsala cuando tengas una dirección BTC, un hash de transacción o una wallet sospechosa y necesites apoyo de atribución con base en evidencia.

analyzing-ransomware-leak-site-intelligence ayuda a monitorear sitios de filtración de datos de ransomware, extraer señales de víctimas y grupos, y generar inteligencia de amenazas estructurada para respuesta a incidentes, revisión de riesgo sectorial y seguimiento de adversarios.

analyzing-cloud-storage-access-patterns ayuda a los equipos de seguridad a detectar accesos sospechosos al almacenamiento en la nube en AWS S3, GCS y Azure Blob Storage. Analiza registros de auditoría para identificar descargas masivas, nuevas IP de origen, llamadas API inusuales, enumeración de buckets, accesos fuera de horario y posible exfiltración mediante comprobaciones de línea base y anomalías.

hunting-advanced-persistent-threats es una skill de threat hunting para detectar actividad de estilo APT en telemetría de endpoint, red y memoria. Ayuda a los analistas a construir búsquedas guiadas por hipótesis, mapear hallazgos a MITRE ATT&CK y convertir la inteligencia de amenazas en consultas prácticas y pasos de investigación, en lugar de búsquedas improvisadas.

La skill generating-threat-intelligence-reports convierte datos ciberanalizados en informes de inteligencia de amenazas estratégicos, operativos, tácticos o flash para ejecutivos, equipos SOC, responsables de IR y analistas. Admite inteligencia terminada, lenguaje de confianza, gestión de TLP y recomendaciones claras para Report Writing.

Guía de la skill extracting-iocs-from-malware-samples para análisis de malware: extrae hashes, IP, dominios, URLs, artefactos del host y señales de validación de muestras para threat intel y detección.

evaluating-threat-intelligence-platforms te ayuda a comparar productos TIP por ingesta de feeds, compatibilidad con STIX/TAXII, automatización, flujo de trabajo de analistas, integraciones y coste total de propiedad. Usa esta guía de evaluating-threat-intelligence-platforms para compras, migraciones o planificación de madurez, incluida la evaluación de evaluating-threat-intelligence-platforms para Threat Modeling cuando la elección de plataforma afecta a la trazabilidad y al intercambio de evidencias.

detecting-privilege-escalation-attempts ayuda a detectar intentos de escalada de privilegios en Windows y Linux, incluidos la manipulación de tokens, el bypass de UAC, rutas de servicio sin comillas, exploits del kernel y el abuso de sudo/doas. Está pensado para equipos de threat hunting que necesitan un flujo de trabajo práctico, consultas de referencia y scripts de apoyo.

Habilidad detecting-living-off-the-land-attacks para auditoría de seguridad, threat hunting y respuesta a incidentes. Detecta el abuso de binarios legítimos de Windows como certutil, mshta, rundll32 y regsvr32 mediante telemetría de creación de procesos, línea de comandos y relaciones padre-hijo. La guía se centra en patrones accionables de detección de LOLBins, no en el endurecimiento general de Windows.

La skill detectando-kerberoasting-attacks ayuda a cazar Kerberoasting al identificar solicitudes Kerberos TGS sospechosas, cifrado débil de tickets y patrones de cuentas de servicio. Úsala para SIEM, EDR, EVTX y flujos de trabajo de Threat Modeling con plantillas de detección prácticas y orientación para ajustar reglas.

detecting-insider-threat-with-ueba te ayuda a crear detecciones UEBA en Elasticsearch o OpenSearch para casos de amenazas internas, incluyendo líneas base de comportamiento, puntuación de anomalías, análisis de grupos de pares y alertas correlacionadas para exfiltración de datos, abuso de privilegios y acceso no autorizado. Encaja con workflows de Respuesta a Incidentes para detecting-insider-threat-with-ueba.

detecting-insider-threat-behaviors ayuda a los analistas a buscar señales de riesgo interno como acceso inusual a datos, actividad fuera de horario, descargas masivas, abuso de privilegios y robo asociado a una renuncia. Usa esta guía de detecting-insider-threat-behaviors para threat hunting, triaje al estilo UEBA y modelado de amenazas, con plantillas de flujo de trabajo, ejemplos de consultas SIEM y pesos de riesgo.

detecting-email-account-compromise ayuda a los equipos de respuesta a incidentes y a los analistas de SOC a investigar la toma de control de buzones en Microsoft 365 y Google Workspace, revisando inicios de sesión sospechosos, abuso de reglas de bandeja de entrada, reenvíos externos, concesiones OAuth y actividad de Graph/registros de auditoría. Úsalo como una guía práctica de detecting-email-account-compromise para una triage rápida.

detecting-dll-sideloading-attacks ayuda a equipos de auditoría de seguridad, threat hunting y respuesta a incidentes a detectar la carga lateral de DLL con Sysmon, EDR, MDE y Splunk. Esta guía de detecting-dll-sideloading-attacks incluye notas de flujo de trabajo, plantillas de hunting, mapeo a estándares y scripts para convertir cargas sospechosas de DLL en detecciones repetibles.

La skill detecting-credential-dumping-techniques te ayuda a detectar acceso a LSASS, exportación de SAM, robo de NTDS.dit y abuso de comsvcs.dll MiniDump mediante el Event ID 10 de Sysmon, registros de Windows Security y reglas de correlación en SIEM. Está pensada para threat hunting, ingeniería de detección y flujos de trabajo de Security Audit.

detecting-command-and-control-over-dns es una skill de ciberseguridad para detectar C2 sobre DNS, incluidos tunneling, beaconing, dominios DGA y abuso de TXT/CNAME. Ayuda a analistas SOC, threat hunters y auditorías de seguridad con comprobaciones de entropía, correlación con passive DNS y flujos de detección al estilo Zeek o Suricata.

Detecta el compromiso de correo empresarial con IA usando NLP, estilometría, señales de comportamiento y contexto relacional. Este skill de detección de compromiso de correo empresarial con IA ayuda a equipos de SOC, fraude y auditoría de seguridad a puntuar correos sospechosos, explicar las señales de riesgo y decidir si ponerlos en cuarentena, advertir o escalar el caso.