Incident Response

rootly-automation は、Composio Rube MCP を通じて Rootly の操作を自動化するための skill です。現在利用できる tool の検出、Rootly connection の確認、action 実行前の live schema 利用を支援します。

incident-response は、宣言済みのセキュリティイベントをチームがトリアージするための skill です。分類、SEV1-SEV4 の重大度判定、誤検知チェック、エスカレーション先の振り分け、フォレンジック証拠の収集、規制上の期限への注意喚起を支援します。Python トリアージスクリプトと、NIST SP 800-61 風のワークフローガイダンスが含まれています。

ciso-advisor は、AI エージェントやセキュリティ責任者が、リスク、コンプライアンス、インシデント、取締役会向け報告を CISO レベルの意思決定につなげるための skill です。Security Strategy、SOC 2/ISO 27001/HIPAA/GDPR のロードマップ、経営層向けインシデント対応に関するガイダンスに加え、リスク定量化とコンプライアンス追跡のための Python ツールを含みます。

detecting-lateral-movement-with-zeek は、Zeek を使った脅威ハンティングとインシデント対応向けのサイバーセキュリティスキルです。conn.log、smb_mapping.log、smb_files.log、dce_rpc.log、ntlm.log、kerberos.log といった Zeek ログを使い、SMB の管理共有アクセス、DCE/RPC のサービス作成、NTLM スプレー、Kerberos の異常、内部での不審な転送などを検知するのに役立ちます。

analyzing-windows-shellbag-artifacts は、DFIRアナリストが Windows の Shellbag レジストリアーティファクトを読み解き、フォルダ閲覧履歴、削除済みフォルダへのアクセス、リムーバブルメディアの使用、ネットワーク共有の利用状況を SBECmd と ShellBags Explorer で再構成するのに役立ちます。インシデントレスポンスとフォレンジックのための、実践的な analyzing-windows-shellbag-artifacts ガイドです。

analyzing-cobaltstrike-malleable-c2-profiles は、Cobalt Strike の Malleable C2 プロファイルを解析し、C2 の指標、回避特性、検知アイデアを抽出することで、マルウェア分析、脅威ハンティング、Security Audit のワークフローを支援します。プロファイルと beacon 設定の解析には `dissect.cobaltstrike` と `pyMalleableC2` を使用します。

exploiting-kerberoasting-with-impacket は、許可されたテスターが Impacket の GetUserSPNs.py を使って Kerberoasting を計画・実行する際に役立ちます。SPN の列挙から TGS チケットの抽出、オフラインでのクラック、検知を意識したレポート作成までをカバーします。侵入テストのワークフローで使うための、導入と利用の文脈が明確な exploiting-kerberoasting-with-impacket ガイドとして活用できます。

detecting-service-account-abuse は、Windows、AD、SIEM、EDR のテレメトリからサービスアカウントの不正利用を見つけるための脅威ハンティングスキルです。不審な対話型ログオン、権限昇格、横展開、アクセス異常に重点を置き、再現性のある調査を支えるハントテンプレート、イベント ID、ワークフロー参照を備えています。

detecting-s3-data-exfiltration-attempts は、CloudTrail の S3 data events、GuardDuty の findings、Amazon Macie の alerts、S3 のアクセスパターンを突き合わせて、AWS S3 でのデータ窃取の可能性を調査するのに役立ちます。Security Audit、インシデント対応、疑わしい一括ダウンロードの分析に、この detecting-s3-data-exfiltration-attempts skill を活用してください。

detecting-rdp-brute-force-attacks は、Windows Security Event Logs を分析して RDP のブルートフォースパターンを見つけるのに役立ちます。たとえば、4625 の失敗が繰り返されるケース、失敗後に 4624 が成功する流れ、NLA 関連のログオン、送信元 IP の集中などを確認できます。Security Audit、脅威ハンティング、EVTX ベースの再現性ある調査に向いています。

detecting-rootkit-activity は、Malware Analysis 向けのスキルで、隠しプロセス、フックされたシステムコール、改変されたカーネル構造、隠しモジュール、密かに残されたネットワーク痕跡など、rootkit の兆候を見つけるために使います。クロスビュー比較と整合性チェックにより、標準ツールの結果が食い違う suspicious host の検証を支援します。

analyzing-usb-device-connection-history は、Windows のレジストリハイブ、イベントログ、`setupapi.dev.log` を使って USB デバイスの接続履歴を調査するのに役立ちます。デジタルフォレンジック、内部不正調査、インシデント対応に対応し、時系列の復元、デバイスの関連付け、リムーバブルメディア証拠の分析を支援します。

analyzing-browser-forensics-with-hindsight は、Hindsight を使って Chromium 系ブラウザのアーティファクトを分析するデジタル・フォレンジクス向けスキルです。履歴、ダウンロード、Cookie、オートフィル、ブックマーク、保存済み認証情報のメタデータ、キャッシュ、拡張機能まで扱えます。Web アクティビティの再構成、タイムラインの確認、Chrome、Edge、Brave、Opera の各プロファイル調査に役立ちます。

analyzing-bootkit-and-rootkit-samples は、MBR、VBR、UEFI、rootkit の調査に使えるマルウェア分析スキルです。OS 層より下で侵害が残り続けるケースで、ブートセクタ、ファームウェアモジュール、anti-rootkit の兆候を確認するのに役立ちます。実務的な手順、わかりやすいワークフロー、そして根拠に基づくトリアージを求める Malware Analysis 担当者に適しています。

detecting-network-anomalies-with-zeek skill は、Zeek を使った受動的なネットワーク監視の導入、構造化ログの確認、ビーコン通信、DNSトンネリング、異常なプロトコル活動を検知するためのカスタム検出の作成を支援します。脅威ハンティング、インシデント対応、SIEM向けのネットワークメタデータ収集、セキュリティ監査のワークフローに適しており、インラインでの防御用途には向きません。

detecting-modbus-command-injection-attacks は、ICS や SCADA 環境における不審な Modbus TCP/RTU の書き込み、異常な機能コード、形式不正のフレーム、ベースラインからの逸脱を見つけるのに役立ちます。インシデントのトリアージ、OT 監視、Security Audit で、一般的な異常検知ではなく Modbus を理解した検知ガイダンスが必要なときに使うのが適しています。

detecting-business-email-compromise スキルは、メールヘッダーの確認、ソーシャルエンジニアリングの兆候、検知ロジック、インシデント対応向けワークフローを通じて、アナリスト、SOCチーム、インシデントレスポンダーがBECの試みを見極めるのを支援します。トリアージ、検証、封じ込めに使える実践的な detecting-business-email-compromise ガイドとして活用してください。

detecting-azure-lateral-movement は、Microsoft Graph の監査ログ、サインイン テレメトリ、KQL の相関分析を使って、Azure AD/Entra ID と Microsoft Sentinel でのラテラルムーブメントを調査するセキュリティアナリスト向けのスキルです。インシデントの一次切り分け、検知ロジックの設計、セキュリティ監査のワークフローで、同意の悪用、サービス プリンシパルの不正利用、トークン窃取、テナント間のピボットをカバーする際に役立ちます。

Wazuh、OSSEC、AIDE を使って HIDS を構築し、ファイル整合性、システム変更、コンプライアンス重視のエンドポイントセキュリティを監視するための configuring-host-based-intrusion-detection ガイドです。Security Audit のワークフローに役立ちます。

EDR、Sysmon、Windowsイベントの相関を使って T1003 の credential dumping を検知するための detecting-t1003-credential-dumping-with-edr スキルです。LSASS、SAM、NTDS.dit、LSA secrets、キャッシュされた認証情報のダンプを見つけるための脅威ハンティングに使えます。アラートの妥当性確認、インシデントの範囲特定、実用的なワークフロー指針による誤検知の低減に役立ちます。

detecting-dcsync-attack-in-active-directory は、Active DirectoryにおけるDCSync悪用を見つけるための脅威ハンティング用スキルです。4662イベント、レプリケーションGUID、正規のDCアカウントを相関させて調査します。Splunk、KQL、解析スクリプトを使って、資格情報窃取の兆候を確認・トリアージ・記録するのに役立ちます。

detecting-container-escape-with-falco-rules は、Falco のランタイムセキュリティルールでコンテナ脱出の試みを検知するためのスキルです。システムコールのシグナル、特権コンテナ、ホストパスの悪用、検証、インシデント対応のワークフローに重点を置き、Kubernetes と Linux のコンテナ環境での運用を支援します。

analyzing-malware-persistence-with-autoruns は、マルウェア分析向けの Sysinternals Autoruns スキルです。Run キー、サービス、スケジュール済みタスク、Winlogon、ドライバー、WMI などの Windows 永続化を確認し、CSV エクスポート、疑わしい項目のレビュー、レポート化しやすい調査結果まで、再現性のあるワークフローで支援します。

hunting-advanced-persistent-threats は、エンドポイント、ネットワーク、メモリの各テレメトリを横断して APT 風の活動を検知するための脅威ハンティング skill です。仮説駆動のハントを組み立て、調査結果を MITRE ATT&CK に対応付け、脅威インテリジェンスを場当たり的な検索ではなく、実用的なクエリと調査手順に落とし込むのに役立ちます。