위협 헌팅 & IOC 분석

무엇을 해주나

• IOC 추출·정규화: 위협 보고서, 이메일(.eml), PDF, 로그 조각에서 IP·도메인·URL·해시(MD5/SHA1/SHA256)·CVE·레지스트리 키·파일 경로를 패턴으로 찾아내고, hxxp://·[.]·[at] 같은 디팽(defang) 표기를 원래 형태로 복원합니다.
• 분류와 신뢰도 점수: 네트워크/파일/호스트/계정/취약점으로 분류하고 High·Medium·Low 신뢰도를 부여하며, JSON·CSV·STIX 2.1 포맷으로 출력합니다.
• MITRE ATT&CK 매핑: 관찰된 행위를 Tactic → Technique → Sub-technique(예: T1059 → T1059.001)로 매핑하고 ATT&CK Navigator 레이어 JSON을 생성합니다.
• 헌트 가설 생성: 가설 문장, 근거, 대상 기법, 필요한 로그 소스, 성공 판정 기준(발견/미발견/불확정)까지 포함한 표준 템플릿을 제공합니다.
• 탐지 룰 작성: Splunk SPL, Microsoft Sentinel KQL, Elastic EQL, Sigma YAML 예시를 기법별로 제공합니다(PowerShell 다운로드 크레이들, LSASS 덤프, Run 키 지속성, SMB 횡이동, 브루트포스 등).
• 위협 인텔 상관분석: 인프라 클러스터링(레지스트라, 인증서 SAN 등)과 위협 행위자 추정, 위협 평가 리포트 양식을 제공합니다.

이런 분께 추천

• SOC 분석가, 위협 헌터, 탐지 엔지니어(Detection Engineering)
• Splunk·Elastic·Sentinel·QRadar 중 하나라도 접근 권한이 있는 보안 담당자
• 위협 인텔 보고서를 받아 사내 탐지 룰로 전환하는 업무를 하는 분
• CTI(위협 인텔리전스) 입문자 중 ATT&CK 매핑 실습이 필요한 분

전제조건: pip install requests pyyaml stix2 taxii2-client, 선택적으로 MISP/OpenCTI/Sigma CLI/SIEM 접근 권한이 필요합니다.

활용 예시

1. CISA 권고문 처리: 새로 나온 랜섬웨어 권고문 텍스트를 붙여넣고 "IOC 전부 뽑아서 STIX로 만들어줘" → 정규화된 지표 목록 + STIX 2.1 JSON.
2. 피싱 메일 조사: .eml 파일을 주고 "발신 인프라 IOC 추출하고 관련 ATT&CK 기법 매핑해줘" → 도메인·URL·해시 목록과 T1566.001 등 매핑 결과.
3. 탐지 룰 전환: "APT29 관련 헌트 가설 3개와 Sentinel KQL 쿼리 만들어줘" → 가설 템플릿 + 실행 가능한 KQL, 그리고 Sigma 룰 초안.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/Masriyan/Claude-Code-CyberSecurity-Skill/HEAD/skills/06-threat-hunting/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

클로드스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 Masriyan/Claude-Code-CyberSecurity-Skill 의 skills/06-threat-hunting 폴더를 내 ~/.claude/skills/threat-hunting-ioc-analysis/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.