Threat Hunting & Phân tích IOC

Làm được gì

• Trích xuất & chuẩn hóa IOC: quét báo cáo, email .eml, PDF, log để lấy IP, domain, URL, hash (MD5/SHA1/SHA256), CVE, registry key, đường dẫn file; tự "refang" các dạng hxxp://, [.], [at].
• Phân loại & chấm độ tin cậy: chia theo Network/File/Host/Identity/Vulnerability, gán High/Medium/Low, xuất ra JSON, CSV hoặc STIX 2.1.
• Map MITRE ATT&CK: đưa hành vi về Tactic → Technique → Sub-technique (T1059 → T1059.001) và tạo layer JSON cho ATT&CK Navigator.
• Sinh giả thuyết hunt: mẫu chuẩn gồm phát biểu giả thuyết, lý do, kỹ thuật liên quan, nguồn log cần có, tiêu chí kết luận (found / not-found / inconclusive).
• Thư viện rule phát hiện: ví dụ Splunk SPL, Microsoft Sentinel KQL, Elastic EQL và Sigma YAML cho PowerShell download cradle, dump LSASS, persistence qua Run key, lateral movement SMB, brute force...
• Tương quan threat intel: gom nhóm hạ tầng (registrar, certificate SAN), suy đoán nhóm tấn công và mẫu báo cáo Threat Assessment.

Phù hợp với ai

• Analyst SOC, threat hunter, detection engineer
• Người có quyền truy cập Splunk, Elastic, Sentinel hoặc QRadar
• Người cần chuyển báo cáo threat intel thành rule phát hiện nội bộ
• Người mới học CTI muốn thực hành map ATT&CK

Yêu cầu: pip install requests pyyaml stix2 taxii2-client; tùy chọn MISP/OpenCTI/Sigma CLI và quyền truy cập SIEM.

Ví dụ sử dụng

1. Xử lý advisory: dán nội dung advisory ransomware mới và yêu cầu "trích hết IOC, xuất STIX" → danh sách indicator đã chuẩn hóa kèm file STIX 2.1.
2. Điều tra email lừa đảo: cung cấp file .eml và hỏi "lấy IOC hạ tầng và map ATT&CK" → danh sách domain/URL/hash cùng kỹ thuật như T1566.001.
3. Biến intel thành rule: "tạo 3 giả thuyết hunt cho APT29 kèm truy vấn KQL cho Sentinel" → template giả thuyết, KQL chạy được và bản nháp rule Sigma.

Hãy đọc hướng dẫn trong tệp này và làm theo để giúp mình:
https://raw.githubusercontent.com/Masriyan/Claude-Code-CyberSecurity-Skill/HEAD/skills/06-threat-hunting/SKILL.md

Mình muốn: (viết việc bạn cần ở đây)

Hãy cài skill mình tìm thấy trên Claude Skill Mart.
Copy thư mục skills/06-threat-hunting từ repo GitHub Masriyan/Claude-Code-CyberSecurity-Skill vào ~/.claude/skills/threat-hunting-ioc-analysis/ của mình.
Sau khi cài xong, cho mình biết skill này làm được gì trong một câu.