detecting-lateral-movement-in-network

## Visão geral do skill detecting-lateral-movement-in-network

### O que este skill faz
O skill `detecting-lateral-movement-in-network` ajuda você a detectar o movimento de um invasor dentro da rede depois da compromissão inicial. Ele foca em sinais práticos, como eventos de autenticação do Windows, telemetria de rede do Zeek, SMB, RDP e correlação em SIEM, para transformar atividade interna ruidosa em detecções acionáveis.

### Para quem ele é indicado
Use o `detecting-lateral-movement-in-network skill` se você atua com detection engineering, resposta a incidentes, threat hunting ou numa revisão de `detecting-lateral-movement-in-network for Security Audit` de tráfego east-west. Ele é mais útil quando você já tem acesso a logs e precisa de regras melhores de triagem, não quando está procurando uma substituição pura de EDR.

### O que o torna diferente
Este skill é voltado para detecção operacional, não para teoria. O repo inclui um agente Python de apoio e material de referência para event IDs, logs do Zeek e padrões de consulta, o que facilita sair da ideia para a implementação. Isso também significa que o skill funciona melhor quando você consegue fornecer fontes reais de logs e um ambiente-alvo.

## Como usar o skill detecting-lateral-movement-in-network

### Instale e inspecione o repo
Para `detecting-lateral-movement-in-network install`, use:
`npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-lateral-movement-in-network`

Depois da instalação, leia primeiro `SKILL.md`, depois `references/api-reference.md` e, em seguida, `scripts/agent.py`. Esses arquivos mostram os mapeamentos de eventos, as premissas de log e a lógica executável em torno da qual o skill foi construído. Se você quiser o caminho mais rápido, procure seções sobre pré-requisitos, fluxo de trabalho e exemplos de detecção.

### Dê a ele a entrada certa
O padrão de `detecting-lateral-movement-in-network usage` funciona melhor quando você especifica:
- as fontes de log que você tem: Windows Security logs, `conn.log` do Zeek, `smb_mapping.log`, `kerberos.log`, dados do SIEM
- o comportamento suspeito: PsExec, salto por RDP, pass-the-hash, WMI, criação de serviço
- o escopo: um host, uma sub-rede ou uma janela de tempo do incidente
- o formato de saída: ideias de detecção, checklist de validação ou rascunho de query para SIEM

Um prompt fraco diz: “encontre lateral movement”. Um prompt mais forte diz: “crie detecções de lateral movement usando Windows 4624/4648/7045 e tráfego east-west do Zeek para um domínio Windows nas últimas 24 horas”.

### Siga um fluxo de trabalho prático
Um bom `detecting-lateral-movement-in-network guide` é:
1. Confirme quais telemetrias existem e o que está faltando.
2. Mapeie o comportamento suspeito para event IDs e logs de rede.
3. Estabeleça uma linha de base da comunicação interna normal antes de caçar anomalias.
4. Converta o padrão suspeito em uma regra de SIEM ou query de hunting.
5. Valide contra atividade administrativa legítima para não gerar alertas em excesso.

Se você só tiver logs north-south, o skill ficará limitado. Ele foi feito para detecção de movimento interno, então a visibilidade east-west importa mais do que o monitoramento amplo de perímetro.

### O que ler primeiro para obter uma saída melhor
Comece por `references/api-reference.md` para ver os event IDs do Windows e os nomes de logs do Zeek que o skill espera. Depois, inspecione `scripts/agent.py` para entender como ele classifica conexões internas suspeitas e tipos de logon. Em geral, isso gera uma saída mais útil do que tentar ler o repositório inteiro de uma vez.

## FAQ do skill detecting-lateral-movement-in-network

### Isso é só um prompt ou um skill de verdade?
É um `detecting-lateral-movement-in-network skill` de verdade, com estrutura de repositório, material de referência e um helper em Python. Isso o torna mais confiável do que um prompt genérico quando você precisa de lógica de detecção repetível.

### Preciso já ter ferramentas de segurança em funcionamento?
Sim, pelo menos alguma telemetria. O skill é mais forte com Windows event logs, Zeek e acesso a SIEM. Se você não tiver visibilidade da rede interna, os resultados serão mais fracos e mais especulativos.

### É amigável para iniciantes?
Ele pode ser usado por iniciantes que conseguem descrever seu ambiente e seus logs, mas os melhores resultados vêm de quem sabe quais sistemas, portas e eventos de autenticação quer inspecionar. Se você está começando, foque em uma técnica suspeita por vez em vez de pedir uma cobertura ampla de hunting.

### Quando não devo usá-lo?
Não o use para forense de endpoint sem contexto de rede ou de logs, nem para análise genérica de malware sem relação com lateral movement. Também é uma má escolha se você só quer uma explicação em alto nível, sem saída de detecção.

## Como melhorar o skill detecting-lateral-movement-in-network

### Forneça telemetria concreta e uma janela de tempo
O maior ganho de qualidade vem de nomear as fontes e o intervalo reais. Diga se você tem Zeek `conn.log`, Windows 4624/4625/4648/7045 ou exports do SIEM, e inclua o intervalo de tempo. Isso ajuda o skill a evitar recomendações genéricas e a focar em evidências que você realmente consegue validar.

### Nomeie o caminho de lateral movement que importa para você
Se quiser um `detecting-lateral-movement-in-network usage` melhor, especifique a técnica: RDP, PsExec, SMB admin shares, WMI, abuso de Kerberos ou pass-the-hash. Cada uma se mapeia para sinais diferentes, e o skill consegue gerar detecções mais precisas quando sabe qual é o caminho provável.

### Peça uma saída que possa ser executada
Em vez de pedir “análise”, solicite um destes itens:
- uma hunt query para Splunk ou outro SIEM
- uma lista enxuta de event IDs de alto sinal
- um plano de validação para atividade administrativa legítima
- um checklist de triagem para um par de hosts suspeito

Isso aumenta a chance de a saída apoiar o trabalho de Security Audit em vez de soar como um resumo.

### Itere contra falsos positivos
O principal modo de falha em detectar lateral movement é disparar demais por causa de ferramentas administrativas e atividade normal de suporte remoto. Se o primeiro resultado vier ruidoso demais, informe o que é legítimo no seu ambiente: jump hosts, ferramentas de patching, service accounts conhecidas ou sub-redes administrativas. Isso permite que o skill afine o conjunto de regras em vez de ampliá-lo.