Threat Intelligence

analyzing-campaign-attribution-evidence 協助分析人員綜合評估基礎架構重疊、ATT&CK 一致性、惡意程式相似度、時間線與語言特徵，進而做出有理有據的活動歸因。可用這份 analyzing-campaign-attribution-evidence 指南來支援 CTI、事件分析與 Security Audit 審查。

analyzing-azure-activity-logs-for-threats 技能，用於查詢 Azure Monitor 活動記錄與登入記錄，找出可疑的系統管理動作、不可能旅行、權限提升與資源竄改。專為事件初步分流而設計，提供 KQL 模式、執行路徑，以及實用的 Azure 記錄資料表指引。

analyzing-apt-group-with-mitre-navigator 可協助分析師將 APT 團體的技術映射到 MITRE ATT&CK Navigator 圖層，用於偵測缺口分析、威脅建模，以及可重複的威脅情資工作流程。內容包含 ATT&CK 資料查詢、圖層產生，以及比較對手 TTP 覆蓋範圍的實務指引。

detecting-cloud-threats-with-guardduty 協助 AWS 團隊啟用 Amazon GuardDuty、檢視調查結果，並為跨帳號與工作負載的雲端威脅建立自動化回應。適合用於 Cloud Architecture 中的 GuardDuty 安裝、使用，以及日常營運。

detecting-aws-cloudtrail-anomalies 可協助分析 AWS CloudTrail 活動，找出異常的 API 來源、首次出現的操作、高頻呼叫，以及與憑證外洩或權限升級相關的可疑行為。適合搭配 boto3、基準行為建立與事件欄位分析，進行結構化的異常偵測。

conducting-phishing-incident-response 技能可協助你調查可疑電子郵件、擷取指標、評估驗證狀態，並提出釣魚事件應對建議。它支援事件回應工作流程，包括郵件初步篩選、憑證釣魚案例、URL 與附件檢查，以及信箱修復。當你需要的是有結構的指南，而不是通用提示詞時，這項技能特別適合使用。

conducting-malware-incident-response 可協助 IR 團隊分流可疑惡意軟體、確認是否感染、判定擴散範圍、隔離端點，並支援清除與復原。此技能專為 conducting-malware-incident-response 的 Incident Response 工作流程而設計，提供有證據基礎的步驟、以遙測為依據的判斷，以及實用的封鎖與隔離指引。

collecting-threat-intelligence-with-misp 技能可協助你在 MISP 中蒐集、標準化、搜尋與匯出威脅情資。這份 collecting-threat-intelligence-with-misp 指南適用於 feed、PyMISP 工作流程、事件篩選、warninglist 降噪，以及 Threat Modeling 與 CTI 作業中實際可用的 collecting-threat-intelligence-with-misp 方法。

building-threat-intelligence-platform 技能，適用於使用 MISP、OpenCTI、TheHive、Cortex、STIX/TAXII 與 Elasticsearch 設計、部署和審視威脅情資平台。可用於安裝指引、使用流程，以及由倉庫參考資料與腳本支援的 Security Audit 規劃。

automating-ioc-enrichment 可協助自動化 IOC enrichment，整合 VirusTotal、AbuseIPDB、Shodan 與 STIX 2.1，適用於 SOAR playbooks、Python pipelines 與 Workflow Automation。使用這個 automating-ioc-enrichment 技能，可標準化分析師可直接採用的脈絡資訊、縮短 triage 時間，並產生可重複的 enrichment 輸出。

Analyzing-threat-intelligence-feeds 可協助你匯入 CTI feeds、標準化指標、評估 feed 品質，並為 STIX 2.1 工作流程強化 IOCs。這個 analyzing-threat-intelligence-feeds 技能專為威脅情資作業與資料分析而設，提供 TAXII、MISP 與商業 feeds 的實務指引。

analyzing-persistence-mechanisms-in-linux skill 可協助分析遭入侵後的 Linux 持久化手法，包括 crontab 工作、systemd 單元、LD_PRELOAD 濫用、shell 設定檔變更，以及 SSH authorized_keys 後門。它適用於 incident response、threat hunting 與 security audit 工作流程，並可搭配 auditd 與檔案完整性檢查使用。