Threat Intelligence

analyzing-campaign-attribution-evidence 帮助分析师综合评估基础设施重叠、ATT&CK 一致性、恶意软件相似性、时间线和语言痕迹，以形成更有依据的 campaign 归因结论。适用于 CTI、事件分析和 Security Audit 复核的 analyzing-campaign-attribution-evidence 指南。

用于查询 Azure Monitor 活动日志和登录日志、发现可疑管理员操作、异地不可能登录、权限提升和资源篡改的 analyzing-azure-activity-logs-for-threats 技能。面向事件初筛，提供 KQL 模式、执行路径和实用的 Azure 日志表使用指南。

analyzing-apt-group-with-mitre-navigator 帮助分析师将 APT 组织的技术映射到 MITRE ATT&CK Navigator 图层，用于检测缺口分析、威胁建模和可重复的威胁情报工作流。它提供了实用指导，涵盖 ATT&CK 数据查询、图层生成，以及对比对手 TTP 覆盖情况。

detecting-cloud-threats-with-guardduty 指南帮助 AWS 团队启用 Amazon GuardDuty、查看检测结果，并构建跨账户和工作负载的云威胁自动响应流程。适合用于 Cloud Architecture 场景下的 GuardDuty 安装、使用和日常运维。

detecting-aws-cloudtrail-anomalies 用于分析 AWS CloudTrail 活动，识别异常 API 来源、首次出现的操作、高频调用，以及与凭证泄露或权限提升相关的可疑行为。适合结合 boto3、基线分析和事件字段分析来做结构化异常检测。

conducting-phishing-incident-response 技能可帮助你调查可疑邮件、提取威胁指标、评估身份验证结果，并给出钓鱼响应建议。它支持事件响应工作流中的邮件分诊、凭证钓鱼案件、URL 和附件检查，以及邮箱修复。适合需要结构化指引、而不是通用提示词的时候使用。

conducting-malware-incident-response 可帮助 IR 团队分诊疑似恶意软件，确认是否感染，评估传播范围，隔离受影响端点，并支持清除与恢复。它面向 Incident Response 工作流中的 conducting-malware-incident-response，提供有证据支撑的步骤、基于遥测的决策，以及实用的遏制指导。

collecting-threat-intelligence-with-misp 技能可帮助你在 MISP 中采集、规范化、搜索并导出威胁情报。可将这份 collecting-threat-intelligence-with-misp 指南用于 feeds、PyMISP 工作流、事件过滤、warninglist 降噪，以及面向 Threat Modeling 和 CTI 运营的实用 collecting-threat-intelligence-with-misp 方法。

building-threat-intelligence-platform 适用于使用 MISP、OpenCTI、TheHive、Cortex、STIX/TAXII 和 Elasticsearch 设计、部署并评审威胁情报平台的技能。可用于安装指引、使用流程，以及基于仓库参考和脚本的 Security Audit 规划。

automating-ioc-enrichment 可帮助用 VirusTotal、AbuseIPDB、Shodan 和 STIX 2.1 自动完成 IOC 富化，适用于 SOAR playbook、Python 流水线和工作流自动化。使用这个 automating-ioc-enrichment 技能，可以标准化分析师可直接使用的上下文，缩短分流时间，并产出可复用的富化结果。

analyzing-threat-intelligence-feeds 可帮助你摄取 CTI 情报源、规范化指标、评估情报源质量，并为 STIX 2.1 工作流丰富 IOC。这个 analyzing-threat-intelligence-feeds 技能面向威胁情报运营和数据分析，提供 TAXII、MISP 及商业情报源的实用指导。

analyzing-persistence-mechanisms-in-linux skill 可用于调查 Linux 机器在被入侵后的持久化迹象，包括 crontab 任务、systemd 单元、LD_PRELOAD 滥用、shell profile 修改以及 SSH authorized_keys 后门。它面向 incident response、threat hunting 和安全审计流程，并结合 auditd 和文件完整性检查使用。