analyzing-cyber-kill-chain

Name: analyzing-cyber-kill-chain
Author: killvxk

34stars9forks

How to install analyzing-cyber-kill-chain?

killvxk/cybersecurity-skills-zh/analyzing-cyber-kill-chain

$npx -y skills add killvxk/cybersecurity-skills-zh --skill analyzing-cyber-kill-chain

Installs into the current project.

Summary

根据 Lockheed Martin Cyber Kill Chain 框架分析入侵活动，识别对手已完成的阶段、防御成功或失败的位置，以及哪些控制措施本可在更早阶段中断攻击。适用于事后分析、构建以预防为中心的安全控制，或将检测差距映射到杀伤链阶段时使用。

Files · 1

View on GitHub

SKILL.md

1	# 分析 Cyber Kill Chain
2
3	## 适用场景
4
5	在以下情况下使用本技能：
6	- 开展事后分析，确定对手在攻击序列中推进了多远
7	- 设计分层防御控制，目标是在尽可能早的阶段中断攻击
8	- 生成威胁情报报告，向非技术利益相关方传达攻击进展
9
10	不适用于将本技能作为独立框架使用——应与 MITRE ATT&CK 结合使用，获取超越 7 阶段杀伤链所提供的技术级颗粒度。
11
12	## 前置条件
13
14	- 包含映射到特定对手行动的取证工件的完整事件时间线
15	- MITRE ATT&CK Enterprise 矩阵，用于每个杀伤链阶段内的技术级映射
16	- 访问疑似对手组织典型杀伤链进展的威胁情报
17	- 响应团队提供的事后报告或 IR 时间线
18
19	## 工作流程
20
21	### 步骤 1：将观察到的行动映射到杀伤链阶段
22
23	Lockheed Martin Cyber Kill Chain 包含七个阶段。映射所有观察到的对手行动：
24
25	阶段 1 - 侦察（Reconnaissance）：对手在攻击前收集目标信息。
26	- 指标：来自对手 IP 的 DNS 查询、LinkedIn 抓取、职位发布分析、对组织基础设施进行 Shodan 扫描
27
28	阶段 2 - 武器化（Weaponization）：对手创建攻击工具（恶意软件 + 漏洞利用）。
29	- 指标：恶意软件编译时间戳、漏洞利用文档元数据、恶意软件样本中的构建器工件
30
31	阶段 3 - 投递（Delivery）：对手将武器传输至目标。
32	- 指标：钓鱼邮件、恶意附件、水坑下载、USB 投递、供应链攻击（Supply Chain Attack）
33
34	阶段 4 - 漏洞利用（Exploitation）：对手利用漏洞执行代码。
35	- 指标：应用/OS 日志中的 CVE 利用事件、内存破坏工件、shellcode 执行
36
37	阶段 5 - 安装（Installation）：对手在目标上建立持久化（Persistence）。
38	- 指标：新的计划任务、注册表运行键、服务安装、Web Shell、Bootkit
39
40	阶段 6 - 命令与控制（C2）：对手与被攻陷系统通信。
41	- 指标：信标流量（固定间隔）、DNS 隧道、HTTPS 到非常见域名、C2 框架特征（Cobalt Strike、Sliver）
42
43	阶段 7 - 目标行动（Actions on Objectives）：对手实现目标。
44	- 指标：数据暂存/外泄（Exfiltration）、横向移动（Lateral Movement）、勒索软件（Ransomware）执行、破坏性活动
45
46	### 步骤 2：识别阶段完成情况和检测点
47
48	为事件创建阶段矩阵：
49	```
50	阶段 1: 侦察 → 已完成（未检测到）
51	阶段 2: 武器化 → 已完成（未检测到 — 攻击前活动）
52	阶段 3: 投递 → 已完成；钓鱼邮件绕过了安全邮件网关
53	阶段 4: 漏洞利用 → 已完成；CVE-2023-23397 被利用
54	阶段 5: 安装 → 已检测：EDR 标记了计划任务创建（攻击在此阻断）
55	阶段 6: C2 → 未达成（安装被阻断）
56	阶段 7: 目标行动 → 未达成
57	```
58
59	对每个未经检测就完成的阶段，记录防御控制差距。
60
61	### 步骤 3：映射到 MITRE ATT&CK 获取技术详情
62
63	每个杀伤链阶段映射到多个 ATT&CK 战术：
64	- 投递 → 初始访问 (TA0001)
65	- 漏洞利用 → 执行 (TA0002)
66	- 安装 → 持久化 (TA0003)、权限提升 (TA0004)
67	- C2 → 命令与控制 (TA0011)
68	- 目标行动 → 数据外泄 (TA0010)、影响 (TA0040)
69
70	在每个阶段内，枚举观察到的具体 ATT&CK 技术并映射到现有检测能力。
71
72	### 步骤 4：识别每个阶段的行动方案
73
74	对每个阶段，记录适用的防御行动方案（COA）：
75	- 检测 COA：哪种检测能够对该阶段的对手活动发出告警？
76	- 拒止 COA：哪种控制能够阻止对手完成该阶段？
77	- 干扰 COA：哪种控制能够在阶段中途中断对手？
78	- 降级 COA：哪种控制能够降低对手在该阶段的有效性？
79	- 欺骗 COA：哪种欺骗手段（蜜罐、金丝雀令牌）能够暴露该阶段的活动？
80	- 摧毁 COA：哪种主动防御能力能够中和对手基础设施？
81
82	### 步骤 5：生成杀伤链分析报告
83
84	按以下结构组织发现结果：
85	1. 攻击叙述（阶段时间线）
86	2. 逐阶段分析及证据
87	3. 检测点分析（何处成功，何处失败）
88	4. 按成本/效益优先排序的逐阶段防御建议
89	5. 控制改进路线图
90
91	## 核心概念
92
93	\| 术语 \| 定义 \|
94	\|------\|-----------\|
95	\| 杀伤链（Kill Chain） \| 对手入侵阶段的顺序模型；从理论上讲，断开任何环节即可阻止攻击 \|
96	\| 行动方案（COA） \| 映射到每个杀伤链阶段的防御响应：检测、拒止、干扰、降级、欺骗、摧毁 \|
97	\| 信标（Beaconing） \| 被攻陷主机向对手服务器定期发送 C2 心跳包的模式；可通过频率分析检测 \|
98	\| 阶段完成 \| 对手成功完成一个杀伤链阶段并推进到下一阶段；纵深防御旨在阻止这一点 \|
99	\| 情报获取/损失 \| 分析在阶段 5（而非阶段 3）检测是否减少了对对手能力或意图的情报 \|
100
101	## 工具与系统
102
103	- MITRE ATT&CK Navigator：将杀伤链阶段与 ATT&CK 技术覆盖叠加以进行综合分析
104	- Elastic Security EQL：事件查询语言，用于在 Elastic SIEM 中查询多阶段攻击序列
105	- Splunk ES：时间线可视化和杀伤链阶段排序的关联搜索
106	- MISP：通过 galaxy 集群进行杀伤链标记，用于结构化事件文档
107
108	## 常见陷阱
109
110	- 线性假设：对手并不总是线性推进——他们可能跳过阶段（武器化已在之前的攻击活动中完成）或回退（检测后重新建立 C2）。
111	- 忽略阶段 1 和 2：侦察和武器化在防御者拥有可见性之前就已发生。了解这些阶段的情报需要外部来源（OSINT、威胁情报）。
112	- 遗漏内部威胁：杀伤链是为外部对手设计的。内部威胁可能直接跳到阶段 7，而无需经历早期阶段。
113	- 与 ATT&CK 战术混淆：7 阶段杀伤链和 14 个 ATT&CK 战术是互补的，但并非直接等价。保持区分以避免分析混乱。

People who liked this also viewed

6 picks

Type

analyzing-cyber-kill-chain

34stars9forks

View on GitHub

How to install analyzing-cyber-kill-chain?

killvxk/cybersecurity-skills-zh/analyzing-cyber-kill-chain

$npx -y skills add killvxk/cybersecurity-skills-zh --skill analyzing-cyber-kill-chain

Installs into the current project.

Summary

Files · 1

View on GitHub

SKILL.md

1	# 分析 Cyber Kill Chain
2
3	## 适用场景
4
5	在以下情况下使用本技能：
6	- 开展事后分析，确定对手在攻击序列中推进了多远
7	- 设计分层防御控制，目标是在尽可能早的阶段中断攻击
8	- 生成威胁情报报告，向非技术利益相关方传达攻击进展
9
10	不适用于将本技能作为独立框架使用——应与 MITRE ATT&CK 结合使用，获取超越 7 阶段杀伤链所提供的技术级颗粒度。
11
12	## 前置条件
13
14	- 包含映射到特定对手行动的取证工件的完整事件时间线
15	- MITRE ATT&CK Enterprise 矩阵，用于每个杀伤链阶段内的技术级映射
16	- 访问疑似对手组织典型杀伤链进展的威胁情报
17	- 响应团队提供的事后报告或 IR 时间线
18
19	## 工作流程
20
21	### 步骤 1：将观察到的行动映射到杀伤链阶段
22
23	Lockheed Martin Cyber Kill Chain 包含七个阶段。映射所有观察到的对手行动：
24
25	阶段 1 - 侦察（Reconnaissance）：对手在攻击前收集目标信息。
26	- 指标：来自对手 IP 的 DNS 查询、LinkedIn 抓取、职位发布分析、对组织基础设施进行 Shodan 扫描
27
28	阶段 2 - 武器化（Weaponization）：对手创建攻击工具（恶意软件 + 漏洞利用）。
29	- 指标：恶意软件编译时间戳、漏洞利用文档元数据、恶意软件样本中的构建器工件
30
31	阶段 3 - 投递（Delivery）：对手将武器传输至目标。
32	- 指标：钓鱼邮件、恶意附件、水坑下载、USB 投递、供应链攻击（Supply Chain Attack）
33
34	阶段 4 - 漏洞利用（Exploitation）：对手利用漏洞执行代码。
35	- 指标：应用/OS 日志中的 CVE 利用事件、内存破坏工件、shellcode 执行
36
37	阶段 5 - 安装（Installation）：对手在目标上建立持久化（Persistence）。
38	- 指标：新的计划任务、注册表运行键、服务安装、Web Shell、Bootkit
39
40	阶段 6 - 命令与控制（C2）：对手与被攻陷系统通信。
41	- 指标：信标流量（固定间隔）、DNS 隧道、HTTPS 到非常见域名、C2 框架特征（Cobalt Strike、Sliver）
42
43	阶段 7 - 目标行动（Actions on Objectives）：对手实现目标。
44	- 指标：数据暂存/外泄（Exfiltration）、横向移动（Lateral Movement）、勒索软件（Ransomware）执行、破坏性活动
45
46	### 步骤 2：识别阶段完成情况和检测点
47
48	为事件创建阶段矩阵：
49	```
50	阶段 1: 侦察 → 已完成（未检测到）
51	阶段 2: 武器化 → 已完成（未检测到 — 攻击前活动）
52	阶段 3: 投递 → 已完成；钓鱼邮件绕过了安全邮件网关
53	阶段 4: 漏洞利用 → 已完成；CVE-2023-23397 被利用
54	阶段 5: 安装 → 已检测：EDR 标记了计划任务创建（攻击在此阻断）
55	阶段 6: C2 → 未达成（安装被阻断）
56	阶段 7: 目标行动 → 未达成
57	```
58
59	对每个未经检测就完成的阶段，记录防御控制差距。
60
61	### 步骤 3：映射到 MITRE ATT&CK 获取技术详情
62
63	每个杀伤链阶段映射到多个 ATT&CK 战术：
64	- 投递 → 初始访问 (TA0001)
65	- 漏洞利用 → 执行 (TA0002)
66	- 安装 → 持久化 (TA0003)、权限提升 (TA0004)
67	- C2 → 命令与控制 (TA0011)
68	- 目标行动 → 数据外泄 (TA0010)、影响 (TA0040)
69
70	在每个阶段内，枚举观察到的具体 ATT&CK 技术并映射到现有检测能力。
71
72	### 步骤 4：识别每个阶段的行动方案
73
74	对每个阶段，记录适用的防御行动方案（COA）：
75	- 检测 COA：哪种检测能够对该阶段的对手活动发出告警？
76	- 拒止 COA：哪种控制能够阻止对手完成该阶段？
77	- 干扰 COA：哪种控制能够在阶段中途中断对手？
78	- 降级 COA：哪种控制能够降低对手在该阶段的有效性？
79	- 欺骗 COA：哪种欺骗手段（蜜罐、金丝雀令牌）能够暴露该阶段的活动？
80	- 摧毁 COA：哪种主动防御能力能够中和对手基础设施？
81
82	### 步骤 5：生成杀伤链分析报告
83
84	按以下结构组织发现结果：
85	1. 攻击叙述（阶段时间线）
86	2. 逐阶段分析及证据
87	3. 检测点分析（何处成功，何处失败）
88	4. 按成本/效益优先排序的逐阶段防御建议
89	5. 控制改进路线图
90
91	## 核心概念
92
93	\| 术语 \| 定义 \|
94	\|------\|-----------\|
95	\| 杀伤链（Kill Chain） \| 对手入侵阶段的顺序模型；从理论上讲，断开任何环节即可阻止攻击 \|
96	\| 行动方案（COA） \| 映射到每个杀伤链阶段的防御响应：检测、拒止、干扰、降级、欺骗、摧毁 \|
97	\| 信标（Beaconing） \| 被攻陷主机向对手服务器定期发送 C2 心跳包的模式；可通过频率分析检测 \|
98	\| 阶段完成 \| 对手成功完成一个杀伤链阶段并推进到下一阶段；纵深防御旨在阻止这一点 \|
99	\| 情报获取/损失 \| 分析在阶段 5（而非阶段 3）检测是否减少了对对手能力或意图的情报 \|
100
101	## 工具与系统
102
103	- MITRE ATT&CK Navigator：将杀伤链阶段与 ATT&CK 技术覆盖叠加以进行综合分析
104	- Elastic Security EQL：事件查询语言，用于在 Elastic SIEM 中查询多阶段攻击序列
105	- Splunk ES：时间线可视化和杀伤链阶段排序的关联搜索
106	- MISP：通过 galaxy 集群进行杀伤链标记，用于结构化事件文档
107
108	## 常见陷阱
109
110	- 线性假设：对手并不总是线性推进——他们可能跳过阶段（武器化已在之前的攻击活动中完成）或回退（检测后重新建立 C2）。
111	- 忽略阶段 1 和 2：侦察和武器化在防御者拥有可见性之前就已发生。了解这些阶段的情报需要外部来源（OSINT、威胁情报）。
112	- 遗漏内部威胁：杀伤链是为外部对手设计的。内部威胁可能直接跳到阶段 7，而无需经历早期阶段。
113	- 与 ATT&CK 战术混淆：7 阶段杀伤链和 14 个 ATT&CK 战术是互补的，但并非直接等价。保持区分以避免分析混乱。

People who liked this also viewed

6 picks

Type