Threat Intelligence

IOC를 추출하고 URL, IP, 도메인, 이메일, 해시를 디패깅한 뒤, 이를 STIX 2.1로 변환해 TAXII 또는 MISP로 공유하는 building-ioc-defanging-and-sharing-pipeline skill입니다. 보안 감사와 위협 인텔리전스 워크플로에 적합합니다.

building-incident-timeline-with-timesketch는 DFIR 팀이 Plaso, CSV 또는 JSONL 증거를 수집해 타임스탬프를 정규화하고, 이벤트를 상관 분석하며, 공격 체인을 문서화해 사고 분류와 보고에 활용할 수 있도록 Timesketch에서 협업형 사고 타임라인을 구축하는 데 도움을 줍니다.

detecting-mobile-malware-behavior skill은 권한 남용, 런타임 활동, 네트워크 지표, 악성코드 유사 패턴을 기준으로 의심스러운 Android 및 iOS 앱을 분석합니다. 보안 감사(Security Audit) 워크플로에서 증거 기반 모바일 분석으로 트리아지, 사고 대응, detecting-mobile-malware-behavior에 활용할 수 있습니다.

detecting-business-email-compromise skill은 분석가, SOC 팀, 인시던트 대응자가 이메일 헤더 점검, 사회공학 징후, 탐지 로직, 대응 중심 워크플로를 활용해 BEC 시도를 식별하도록 돕습니다. 분류, 검증, 차단을 위한 실용적인 detecting-business-email-compromise 가이드로 활용하세요.

detecting-beaconing-patterns-with-zeek은 Zeek `conn.log`의 간격을 분석해 C2형 비컨ing을 탐지하는 데 도움을 줍니다. ZAT를 사용해 흐름을 출발지, 목적지, 포트별로 그룹화하고, 통계적 검증을 통해 지터가 낮은 패턴에 점수를 매깁니다. SOC, 위협 헌팅, 사고 대응, 그리고 Security Audit 워크플로에서 detecting-beaconing-patterns-with-zeek를 활용하려는 경우에 적합합니다.

analyzing-supply-chain-malware-artifacts는 트로이목마화된 업데이트, 오염된 의존성, 빌드 파이프라인 변조를 추적하는 악성코드 분석 스킬입니다. 신뢰 가능한 아티팩트와 의심 아티팩트를 비교하고, 지표를 추출하며, 침해 범위를 평가하고, 추측을 줄인 상태로 조사 결과를 보고할 때 사용하세요.

analyzing-ransomware-network-indicators는 Zeek conn.log와 NetFlow를 분석해 C2 비콘 통신, TOR 종료 노드, 데이터 유출, 수상한 DNS를 찾아 Security Audit와 사고 대응을 지원합니다.

analyzing-ransomware-payment-wallets는 랜섬웨어 결제 지갑을 추적하고, 자금 이동을 따라가며, 관련 주소를 클러스터링해 보안 감사와 사고 대응을 지원하는 읽기 전용 블록체인 포렌식 스킬입니다. BTC 주소, tx hash, 또는 의심 지갑이 있고, 근거 기반의 귀속 판단을 뒷받침할 증거가 필요할 때 사용하세요.

analyzing-ransomware-leak-site-intelligence는 랜섬웨어 데이터 유출 사이트를 모니터링하고, 피해자 및 공격 그룹 신호를 추출하며, 사고 대응, 업종별 위험 검토, 공격자 추적에 활용할 수 있는 구조화된 위협 인텔리전스를 생성하는 데 도움을 줍니다.

analyzing-cloud-storage-access-patterns는 보안 팀이 AWS S3, GCS, Azure Blob Storage에서 의심스러운 클라우드 저장소 액세스를 탐지하도록 돕습니다. 감사 로그를 분석해 대량 다운로드, 새로운 소스 IP, 비정상적인 API 호출, 버킷 열거, 근무 시간 외 액세스, 그리고 기준선과 이상 징후 점검을 통한 잠재적 유출을 찾아냅니다.

hunting-advanced-persistent-threats는 엔드포인트, 네트워크, 메모리 텔레메트리 전반에서 APT 유형의 활동을 탐지하기 위한 위협 헌팅 기술입니다. 분석가가 가설 기반 헌트를 설계하고, 결과를 MITRE ATT&CK에 매핑하며, 위협 인텔을 즉흥적인 검색이 아닌 실무형 쿼리와 조사 단계로 전환하도록 돕습니다.

generating-threat-intelligence-reports 스킬은 분석된 사이버 데이터를 경영진, SOC 팀, IR 리더, 분석가를 위한 전략적·운영적·전술적·긴급 위협 인텔리전스 보고서로 바꿉니다. 완성형 인텔리전스, 신뢰도 표현, TLP 처리, 그리고 Report Writing에 바로 쓸 수 있는 명확한 권고안을 지원합니다.

악성코드 분석을 위한 extracting-iocs-from-malware-samples 기술 가이드입니다. 샘플에서 해시, IP, 도메인, URL, 호스트 아티팩트, 검증 단서를 추출해 위협 인텔과 탐지에 활용할 수 있습니다.

evaluating-threat-intelligence-platforms는 피드 수집, STIX/TAXII 지원, 자동화, 분석가 워크플로, 통합 기능, 총소유비용(TCO) 기준으로 TIP 제품을 비교하는 데 도움을 줍니다. 이 evaluating-threat-intelligence-platforms 가이드는 조달, 마이그레이션, 성숙도 계획에 활용할 수 있으며, 플랫폼 선택이 추적성과 증거 공유에 영향을 주는 위협 모델링 평가에도 유용합니다.

detecting-privilege-escalation-attempts는 Windows와 Linux에서 권한 상승을 추적하는 데 도움이 되며, 토큰 조작, UAC 우회, 따옴표가 없는 서비스 경로, 커널 익스플로잇, sudo/doas 오용까지 포함합니다. 실무적인 워크플로, 참고용 쿼리, 보조 스크립트가 필요한 위협 헌팅 팀을 위해 설계되었습니다.

Security Audit, 위협 헌팅, 사고 대응을 위한 detecting-living-off-the-land-attacks 스킬입니다. `certutil`, `mshta`, `rundll32`, `regsvr32` 같은 합법적 Windows 바이너리의 악용을 프로세스 생성, 명령줄, 부모-자식 관계 텔레메트리로 탐지합니다. 이 가이드는 Windows 전반의 하드닝이 아니라, 바로 적용 가능한 LOLBin 탐지 패턴에 초점을 맞춥니다.

detecting-kerberoasting-attacks skill은 의심스러운 Kerberos TGS 요청, 약한 티켓 암호화, 서비스 계정 패턴을 찾아 Kerberoasting을 헌팅하는 데 도움을 줍니다. SIEM, EDR, EVTX, Threat Modeling 워크플로에서 실용적인 탐지 템플릿과 튜닝 가이드를 활용할 때 적합합니다.

detecting-insider-threat-with-ueba는 Elasticsearch 또는 OpenSearch에서 내부자 위협 사례를 위한 UEBA 탐지를 구축하도록 돕습니다. 행동 기준선, 이상 점수화, 피어 그룹 분석, 데이터 유출·권한 남용·무단 액세스에 대한 상관 분석 경보를 포함하며, Incident Response 워크플로에 적합합니다.

detecting-insider-threat-behaviors는 비정상적인 데이터 접근, 근무 시간 외 활동, 대량 다운로드, 권한 남용, 퇴사 연계 유출 같은 내부자 위험 신호를 찾는 분석가를 돕습니다. 이 detecting-insider-threat-behaviors 가이드는 워크플로 템플릿, SIEM 쿼리 예시, 위험 가중치를 통해 위협 헌팅, UEBA 스타일 트리아지, 위협 모델링에 활용할 수 있습니다.

detecting-email-account-compromise는 수상한 로그인, 받은편지함 규칙 악용, 외부 전달 설정, OAuth 권한 부여, Graph/감사 로그 활동을 점검해 Microsoft 365와 Google Workspace 메일함 탈취를 조사하는 데 incident responder와 SOC 분석가를 돕습니다. 빠른 트리아지를 위한 실용적인 detecting-email-account-compromise 가이드로 활용하세요.

detecting-dll-sideloading-attacks는 Security Audit, 위협 헌팅, 인시던트 대응 팀이 Sysmon, EDR, MDE, Splunk로 DLL 사이드로딩을 탐지하도록 돕습니다. 이 detecting-dll-sideloading-attacks 가이드에는 워크플로 노트, 헌팅 템플릿, 표준 매핑, 그리고 의심스러운 DLL 로드를 반복 가능한 탐지로 바꾸는 스크립트가 포함되어 있습니다.

detecting-credential-dumping-techniques 스킬은 Sysmon Event ID 10, Windows Security 로그, 그리고 SIEM 상관관계 규칙을 사용해 LSASS 접근, SAM 내보내기, NTDS.dit 탈취, comsvcs.dll MiniDump 악용을 탐지하는 데 도움을 줍니다. 위협 헌팅, 탐지 엔지니어링, Security Audit 워크플로우에 맞춰 설계되었습니다.

detecting-command-and-control-over-dns는 DNS를 통한 C2를 포착하기 위한 사이버 보안 skill로, 터널링, 비콘 통신, DGA 도메인, TXT/CNAME 악용을 포함합니다. 엔트로피 점검, 패시브 DNS 상관분석, Zeek 또는 Suricata 스타일의 탐지 워크플로를 통해 SOC 분석가, 위협 헌터, 보안 감사 업무를 지원합니다.

NLP, 문체 분석, 행동 신호, 관계 맥락을 활용해 AI로 비즈니스 이메일 침해(BEC)를 탐지하세요. 이 detecting-business-email-compromise-with-ai skill은 SOC, 사기 대응, 보안 감사 팀이 의심스러운 이메일을 점수화하고, 위험 신호를 설명하며, 격리·경고·에스컬레이션 여부를 결정하는 데 도움을 줍니다.