building-incident-timeline-with-timesketch

作成者 mukul975

building-incident-timeline-with-timesketch は、Plaso、CSV、JSONL の証拠を取り込み、タイムスタンプを正規化し、イベントを相関付け、攻撃チェーンを記録することで、DFIR チームが Timesketch 上で共同編集可能なインシデントタイムラインを構築するのを支援します。インシデントのトリアージやレポート作成に向いた、実務的なタイムライン分析ワークフローです。

スター6.1k

お気に入り0

追加日2026年5月9日

カテゴリーIncident Triage

インストールコマンド

npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill building-incident-timeline-with-timesketch

編集スコア

このスキルは79/100の評価です。Timesketchに特化した実用的なワークフロー、補助スクリプト、参照ドキュメントがそろっており、タイムライン作成の手探り感を減らせるため、インシデント対応エージェント向けの候補として堅実です。一方で、SKILL.md の抜粋だけでは専用のインストールコマンドや、すぐに実行できる明確な手順の入口が見えないため、起動条件やセットアップにはやや導入のしづらさが残ります。

79/100

強み

証拠に基づくワークフローが明確です。references/workflows.md には、証拠収集、Plaso 処理、Timesketch への取り込み、アナライザ、手動タグ付けまで、タイムライン構築の流れが整理されています。
運用支援が強力です。scripts/agent.py と scripts/process.py から、認証、sketch 作成、アップロード、処理まで自動化されており、単なる説明文以上の実装になっています。
導入判断の材料がそろっています。SKILL.md には有効な frontmatter、domain/subdomain メタデータ、サイバーセキュリティ関連タグ、Timesketch/Plaso を詳しく説明する内容が含まれています。

注意点

起動しやすさはまだ十分に洗練されていません。SKILL.md の抜粋には広い意味での 'When to Use' はありますが、インストールコマンドがなく、文言もやや汎用的または不自然に見えるため、エージェントの呼び出し条件が分かりにくい場合があります。
証拠は豊富ですが、粒度にばらつきがあります。リポジトリには参考情報が充実している一方で、正確な入力、出力、必要な環境条件を把握するには、利用者がコードやドキュメントをさらに確認する必要があるかもしれません。

Timesketch Dfir Incident Response Forensics Timeline Analysis Plaso

概要

building-incident-timeline-with-timesketch skill の概要

この skill でできること

building-incident-timeline-with-timesketch skill は、散在する証拠を Timesketch 上の共同作業可能なインシデントタイムラインへ整理するのに役立ちます。ログの取り込み、タイムスタンプの正規化、イベント相関、攻撃チェーンの明確な文書化が必要な DFIR やインシデント対応に最適です。トリアージやレポート作成に使える形まで、流れを見失わずにまとめたい場面で力を発揮します。

どんな人に向いているか

Windows ログ、Plaso の出力、CSV/JSONL のイベントデータ、あるいは複数ソースの証拠からケースタイムラインを組み立てたい人で、手作業の表計算より速く分析に進みたいなら、building-incident-timeline-with-timesketch skill を使うのが向いています。Incident Triage のために building-incident-timeline-with-timesketch を使うインシデント対応担当者、脅威ハンター、フォレンジック分析者との相性が良い skill です。

何が違うのか

一般的なタイムライン用プロンプトと違い、この skill は Timesketch の実務に即した詳細に根ざしています。アップロード構成、検索と注釈のパターン、レポート形式の出力までを前提にしているのが特徴です。特に価値が大きいのは運用面で、複数のタイムライン、複数ソース、複数の調査担当者が関わる状況でも、抜け漏れを減らしながら生の証拠から使える sketch へ素早く到達できる点です。

building-incident-timeline-with-timesketch skill の使い方

インストールして repo を確認する

building-incident-timeline-with-timesketch install の手順では、まず skill のパスを確認し、プロンプトを投げる前にガイドファイルを読みます。
skills/building-incident-timeline-with-timesketch/SKILL.md、references/workflows.md、references/api-reference.md、references/standards.md、assets/template.md を確認してください。
skill runner を使う場合は、親 repository からインストールし、ローカルの skill 名が building-incident-timeline-with-timesketch と一致していることを確認します。

skill に適切な入力を渡す

building-incident-timeline-with-timesketch の使い方は、次の情報を渡すと最も効果的です。

証拠ソースと形式 (.plaso, .csv, .jsonl)
初期侵入、横展開、永続化などのケース目標
時間範囲、タイムゾーン、ホスト名
既知のインジケーター、不審なアカウント、ハッシュ
sketch notes、saved searches、report など希望する出力形式

弱い依頼の例は「インシデントタイムラインを作って」です。
より強い依頼の例は「2024-01-03 から 2024-01-05 UTC の Windows 侵害について、EVTX、Prefetch、PowerShell ログを使って Timesketch のタイムラインを作成し、ログオンと実行イベントを優先して、トリアージ向けの攻撃ストーリーを出してください」です。

実務ではこの順序で進める

building-incident-timeline-with-timesketch のガイドは、次の順序で作業すると最も役立ちます。

まず取り込む価値の高い証拠ソースを特定する
Timesketch 向けの timeline に変換または絞り込む
sketch を作成し、説明的な名前で各 timeline をアップロードする
analyzer を実行し、信号の強いイベントを検索する
最終 narrative を書く前に、攻撃フェーズごとにイベントへタグ付けし、注釈を付ける

references/workflows.md を使って、フルの証拠処理に進むか、迅速なトリアージを優先するかを選びます。緊急案件では、全部を処理しようとせず、まず最短で使える artifact セットを優先してください。

まず読むべきファイル

信頼できる出力を得たいなら、判断に最も影響するファイルを先に確認します。

references/workflows.md は処理フローの確認用
references/api-reference.md は upload、search、annotation の構造確認用
references/standards.md は timeline と forensic の期待値確認用
assets/template.md はこの skill が最適化されている report 構成の確認用
自動化や API 駆動実行が必要なら scripts/agent.py と scripts/process.py

building-incident-timeline-with-timesketch skill の FAQ

この skill は Timesketch ユーザー専用ですか？

はい。これは Timesketch を中心にした調査向けの skill です。Timesketch で timeline を取り込み、検索し、注釈を付ける予定がないなら、building-incident-timeline-with-timesketch よりも一般的なインシデント対応プロンプトのほうが合っている場合があります。

使うのに Plaso は必要ですか？

いいえ。Plaso は詳細な artifact 解析には重要ですが、この skill は CSV と JSONL の直接取り込みにも対応しています。そのため、building-incident-timeline-with-timesketch は本格的なフォレンジック処理にも、より速いトリアージ用 timeline 作成にも使えます。

初心者でも使いやすいですか？

初心者でも使えますが、証拠ソース、時間範囲、調査目標を明確にできる人ほど結果は良くなります。そこが曖昧でも作業の骨組みは整えられますが、適切な timeline の範囲を skill 側が代わりに判断してくれるわけではありません。

どんなときに使わないほうがいいですか？

単なるインシデント要約の作成、静的なログレビュー、検知ルール作成だけが目的なら、building-incident-timeline-with-timesketch は使わないでください。証拠相関と調査担当者の注釈を含む、検索可能な timeline が成果物になるときに最も価値があります。

building-incident-timeline-with-timesketch skill の改善方法

証拠ブリーフをもっと具体的にする

品質を最も大きく引き上げるのは、ソース情報を詳しくすることです。ソース種別、ホスト、日付範囲、そして現時点で疑っていることを入れてください。たとえば「エンドポイントのログ」ではなく「単一ワークステーションの Security.evtx、Sysmon、ブラウザ履歴、M365 audit logs」と指定します。そうすることで、building-incident-timeline-with-timesketch skill はより適切な解析順序と検索優先度を選びやすくなります。

タイムラインだけでなく判断を求める

出力目標を明示すると、skill の性能は上がります。たとえば、初期侵入の確認、アカウント悪用の特定、移動経路の把握、永続化の記録などです。何を優先すべきかが変われば、重要なイベント、最初に回す analyzer、タイムラインの語り方も変わります。

最初の出力はトリアージ用の下書きとして扱う

最初の結果は作業用の sketch と考え、足りない時間境界、より良いインジケーター、追加の timeline で磨き込みます。よくある失敗は、対象を広げすぎて、時系列が薄く、優先順位もないままになることです。調査範囲を絞り、既知の IOC を足すほうが、building-incident-timeline-with-timesketch の利用では「もっと詳細にして」と頼むより効果的なことが多いです。

的を絞ったフォローアップで反復する

最初のパスの後は、次のような具体的な依頼で詰めていきます。

「最初の不審な logon を中心に timeline を組み直して」
「実行、永続化、exfiltration のイベントを分けて」
「イベントを ATT&CK phase でタグ付けして」
「assets/template.md の report template に変換して」

こうすると、skill は一般的な要約ではなく分析品質に集中しやすくなり、building-incident-timeline-with-timesketch guide も実際のインシデント対応フローで使いやすくなります。

評価とレビュー

まだ評価がありません

レビューを投稿

このスキルの評価やコメントを投稿するにはサインインしてください。

0/10000

新着レビュー

保存中...

このカテゴリーの他のスキル

conducting-malware-incident-response

作成者 mukul975

conducting-malware-incident-response は、IR チームが疑わしいマルウェアをトリアージし、感染を確認し、被害範囲を把握し、エンドポイントを隔離し、駆除と復旧を進めるのに役立ちます。証拠に基づく手順、テレメトリ主導の判断、実践的な封じ込めガイダンスを備え、Incident Response のワークフローで conducting-malware-incident-response を行うために設計されています。

Incident Response

お気に入り 0GitHub 0

building-incident-response-playbook

作成者 mukul975

building-incident-response-playbook は、セキュリティチームが再利用可能なインシデント対応プレイブックを作成できるようにする skill です。段階的なフェーズ、判断フロー、エスカレーション基準、RACI による責任分担、SOAR 対応の構成まで備えており、インシデント対応手順のドキュメント化、インシデントトリアージのワークフロー、監査に強い運用対応計画の整理に向いています。

Incident Triage

お気に入り 0GitHub 6.1k

detecting-privilege-escalation-attempts

作成者 mukul975

detecting-privilege-escalation-attempts は、Windows と Linux における権限昇格の追跡を支援します。トークン操作、UAC バイパス、引用符なしのサービスパス、カーネルエクスプロイト、sudo/doas の不正利用までカバー。実践的なワークフロー、参考クエリ、補助スクリプトを求める脅威ハンティングチーム向けに設計されています。

Threat Hunting

お気に入り 0GitHub 0

detecting-evasion-techniques-in-endpoint-logs

作成者 mukul975

detecting-evasion-techniques-in-endpoint-logs skill は、Windows の endpoint ログから防御回避の痕跡を追うための skill です。ログ削除、timestomping、process injection、セキュリティツール無効化などの検知に役立ちます。Sysmon、Windows Security、EDR テレメトリを使った threat hunting、検知設計、インシデントトリアージに向いています。

Threat Hunting

お気に入り 0GitHub 0

analyzing-network-traffic-for-incidents

作成者 mukul975

analyzing-network-traffic-for-incidents は、インシデント対応担当者が PCAP、フローログ、パケットキャプチャを分析し、C2、横展開、持ち出し、不正侵入の試みを確認できるようにするスキルです。Wireshark、Zeek、NetFlow 系の調査を使った Incident Response 向けに設計された analyzing-network-traffic-for-incidents です。

Incident Response

お気に入り 0GitHub 0

detecting-insider-threat-behaviors

作成者 mukul975

detecting-insider-threat-behaviors は、通常と異なるデータアクセス、時間外の活動、一括ダウンロード、権限の悪用、退職前後の不正持ち出しなど、インサイダーリスクの兆候を追跡するのに役立ちます。脅威ハンティング、UEBA 風のトリアージ、脅威モデリングに使えるこの detecting-insider-threat-behaviors ガイドには、ワークフローテンプレート、SIEM のクエリ例、リスク重み付けが含まれています。

Threat Modeling

お気に入り 0GitHub 0

detecting-command-and-control-over-dns

作成者 mukul975

detecting-command-and-control-over-dns は、DNS経由のC2を検知するサイバーセキュリティ向けskillです。トンネリング、ビーコン通信、DGAドメイン、TXT/CNAMEの悪用までカバーし、SOCアナリスト、脅威ハンター、セキュリティ監査で使いやすいように、エントロピー検査、passive DNS の相関、Zeek や Suricata 風の検知ワークフローを支援します。

Security Audit

お気に入り 0GitHub 0

deploying-osquery-for-endpoint-monitoring

作成者 mukul975

osqueryを導入・設定して、エンドポイントの可視化、全社規模の監視、SQLベースの脅威ハンティングを行うためのガイドです。インストール計画の立案、ワークフローやAPIリファレンスの確認、Windows・macOS・Linuxの各エンドポイントでスケジュールクエリ、ログ収集、集中レビューを運用に落とし込む際に役立ちます。

Monitoring

お気に入り 0GitHub 0

correlating-security-events-in-qradar

作成者 mukul975

correlating-security-events-in-qradar は、SOC や検知チームが IBM QRadar のオフェンスを AQL、オフェンスコンテキスト、カスタムルール、参照データで相関分析するのを支援します。このガイドを使えば、インシデントの調査、誤検知の削減、Incident Response に向けたより強力な相関ロジックの構築ができます。

Incident Response

お気に入り 0GitHub 0

analyzing-windows-event-logs-in-splunk

作成者 mukul975

analyzing-windows-event-logs-in-splunk skill は、SOCアナリストが Splunk 上で Windows の Security、System、Sysmon ログを調査し、認証攻撃、権限昇格、永続化、横展開を追跡するのに役立ちます。インシデントのトリアージ、検知ロジックの設計、タイムライン分析に使え、対応する SPL パターンとイベント ID のガイダンスも含まれています。

Incident Triage

お気に入り 0GitHub 0

analyzing-windows-amcache-artifacts

作成者 mukul975

analyzing-windows-amcache-artifacts skill は、Windows の Amcache.hve データを解析し、プログラム実行の痕跡、インストール済みソフトウェア、デバイスの活動、ドライバーの読み込み証跡を抽出して、DFIR やセキュリティ監査のワークフローに役立てるための skill です。AmcacheParser と regipy ベースの手順を用いて、アーティファクト抽出、SHA-1 の突合、タイムライン確認を支援します。

Security Audit

お気に入り 0GitHub 0

analyzing-powershell-empire-artifacts

作成者 mukul975

analyzing-powershell-empire-artifacts スキルは、Security Audit チームが Script Block Logging、Base64 ランチャーのパターン、stager の IOC、モジュール署名、検知リファレンスを使って、Windows ログ内の PowerShell Empire の痕跡を検出し、トリアージとルール作成に役立てるためのものです。

Security Audit

お気に入り 0GitHub 0

analyzing-network-traffic-of-malware

作成者 mukul975

analyzing-network-traffic-of-malware は、サンドボックス実行やインシデント対応で得られた PCAP やテレメトリを解析し、C2、情報流出、ペイロードのダウンロード、DNS トンネリング、検知アイデアの抽出に役立ちます。Security Audit やマルウェアのトリアージに向く、実践的な analyzing-network-traffic-of-malware ガイドです。

Security Audit

お気に入り 0GitHub 0

analyzing-linux-system-artifacts

作成者 mukul975

analyzing-linux-system-artifacts は、認証ログ、シェル履歴、cron ジョブ、systemd サービス、SSH キー、その他の永続化ポイントを確認し、Linux ホストの侵害有無を調べるのに役立ちます。Security Audit、インシデント対応、フォレンジックのトリアージにこの analyzing-linux-system-artifacts ガイドを活用してください。実用的なインストール手順と使い方も含まれています。

Security Audit

お気に入り 0GitHub 0

analyzing-indicators-of-compromise

作成者 mukul975

analyzing-indicators-of-compromise は、IP、ドメイン、URL、ファイルハッシュ、メール由来の痕跡などの IOC を迅速にトリアージするためのスキルです。ソースに基づく確認と、状況がわかる明確なアナリスト向けコンテキストを通じて、脅威インテリジェンスの拡充、信頼度スコアリング、ブロック／監視／ホワイトリスト判定を支援します。

Threat Intelligence

お気に入り 0GitHub 0

analyzing-docker-container-forensics

作成者 mukul975

analyzing-docker-container-forensics は、イメージ、レイヤー、ボリューム、ログ、実行時アーティファクトを分析して、侵害された Docker コンテナの調査を支援し、悪意ある活動の特定と証拠保全を行います。Security Audit、インシデントレビュー、コンテナ強化の評価にこの analyzing-docker-container-forensics skill を使用してください。

Security Audit

お気に入り 0GitHub 0