Zeek

detecting-network-anomalies-with-zeek skill は、Zeek を使った受動的なネットワーク監視の導入、構造化ログの確認、ビーコン通信、DNSトンネリング、異常なプロトコル活動を検知するためのカスタム検出の作成を支援します。脅威ハンティング、インシデント対応、SIEM向けのネットワークメタデータ収集、セキュリティ監査のワークフローに適しており、インラインでの防御用途には向きません。

detecting-modbus-protocol-anomalies は、OT/ICS ネットワークにおける不審な Modbus/TCP および Modbus RTU の挙動を検知するのに役立ちます。無効な function code、範囲外の register アクセス、異常な polling 間隔、許可されていない write、壊れた frame などを対象に、Security Audit や根拠に基づくトリアージに有用です。

detecting-beaconing-patterns-with-zeek は、Zeek の `conn.log` の間隔を分析して C2 型のビーコニングを検知するための skill です。ZAT を利用し、フローを送信元・送信先・ポートごとにグループ化したうえで、低ジッターのパターンを統計的に評価します。SOC、脅威ハンティング、インシデント対応、Security Audit のワークフローにおける detecting-beaconing-patterns-with-zeek に適しています。

analyzing-ransomware-network-indicators は、Zeek の conn.log と NetFlow を分析して、C2 のビーコン通信、TOR 終端、持ち出し、疑わしい DNS を特定し、セキュリティ監査やインシデント対応に役立ちます。

hunting-advanced-persistent-threats は、エンドポイント、ネットワーク、メモリの各テレメトリを横断して APT 風の活動を検知するための脅威ハンティング skill です。仮説駆動のハントを組み立て、調査結果を MITRE ATT&CK に対応付け、脅威インテリジェンスを場当たり的な検索ではなく、実用的なクエリと調査手順に落とし込むのに役立ちます。

detecting-exfiltration-over-dns-with-zeek は、Zeek の dns.log から DNS 経由のデータ流出を検知するのに役立ちます。高エントロピーなサブドメイン、長いラベル、不自然なクエリ量をフラグし、DNS のフィールド参照やスクリプトを使って脅威ハンティング、トリアージ、再現性のある分析を行えます。

analyzing-network-traffic-for-incidents は、インシデント対応担当者が PCAP、フローログ、パケットキャプチャを分析し、C2、横展開、持ち出し、不正侵入の試みを確認できるようにするスキルです。Wireshark、Zeek、NetFlow 系の調査を使った Incident Response 向けに設計された analyzing-network-traffic-for-incidents です。

detecting-lateral-movement-in-network は、Windows イベントログ、Zeek テレメトリ、SMB、RDP、SIEM 相関を使って、侵害後のネットワーク内ラテラルムーブメントを検知するのに役立ちます。脅威ハンティング、インシデント対応、Security Audit レビューでの detecting-lateral-movement-in-network に有用で、実践的な検知ワークフローを備えています。

detecting-dnp3-protocol-anomalies は、SCADA環境の DNP3 トラフィックを分析し、未許可の制御コマンド、プロトコル違反、再起動試行、ベースライン挙動からの逸脱を検出するのに役立ちます。Security Audit、IDSのチューニング、Zeekログやパケットキャプチャの確認にこの detecting-dnp3-protocol-anomalies skill を使ってください。

detecting-command-and-control-over-dns は、DNS経由のC2を検知するサイバーセキュリティ向けskillです。トンネリング、ビーコン通信、DGAドメイン、TXT/CNAMEの悪用までカバーし、SOCアナリスト、脅威ハンター、セキュリティ監査で使いやすいように、エントロピー検査、passive DNS の相関、Zeek や Suricata 風の検知ワークフローを支援します。