# threat-hunting

Проактивный поиск следов компрометации в SIEM, EDR и журналах до срабатывания алертов. Помогает проверять гипотезы атак по фреймворку PEAK и каталогу MITRE ATT&CK.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 333 установки · ★ 435
- Автор: briiirussell
- Лицензия: MIT · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/briiirussell/cybersecurity-skills/tree/HEAD/skills/threat-hunting/SKILL.md
- Обновлён: 2026-05-27
- HTML: https://affpapa.org/nevibecode/skills/threat-hunting

## Что делает

Скилл переводит работу аналитика в проактивный режим. Он исходит из предпосылки, что атакующий уже проник в сеть и не вызвал срабатывания стандартных правил. В основу заложен фреймворк PEAK от команды Splunk SURGe: формулирование гипотезы, её проверка по логам, действия по находкам и фиксация знаний. Обычного просмотра событий здесь недостаточно. Каждая охота привязывается к технике из каталога MITRE ATT&CK и конкретным артефактам.

Внутри собраны шаблоны запросов KQL и Splunk SPL, а также перечни проверок для обнаружения закрепления и обхода защиты. Скилл поддерживает три паттерна работы: раскрутку от индикатора, поиск по технике и выявление аномалий относительно базового профиля. Каждая подтверждённая угроза сразу передаётся в реагирование. Если проверка затруднена из-за нехватки источников, скилл фиксирует пробел в сборе телеметрии.

Результативность проверки прямо зависит от телеметрии: без логов Sysmon, Security EventCode или облачных журналов аналитику просто нечего будет запрашивать. Завершённый поиск обязательно превращается в новое правило детекта для SIEM или задокументированный отчёт, чтобы исключить повторную ручную работу.

## Требования
- Работает с: Splunk

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill threat-hunting -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/threat-hunting/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/threat-hunting/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill threat-hunting -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/threat-hunting/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill threat-hunting -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/threat-hunting/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install briiirussell/cybersecurity-skills threat-hunting
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/threat-hunting/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill threat-hunting -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/briiirussell/cybersecurity-skills --path skills/threat-hunting
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/threat-hunting/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill threat-hunting -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/briiirussell/cybersecurity-skills/tree/HEAD/skills/threat-hunting/SKILL.md

## Когда брать
- составить проверяемую гипотезу атаки по технике MITRE ATT&CK
- найти скрытые механизмы закрепления в планировщике задач и службах Windows
- выявить обход средств защиты по зашифрованным вызовам PowerShell и LOLBins
- локализовать попытки несанкционированного доступа к процессу LSASS или базе NTDS.dit

## Примеры запросов агенту
- Помоги составить гипотезу поиска по технике T1059.001 для запуска PowerShell из процессов Office.
- Напиши запрос KQL для Sentinel, чтобы найти сервисные учётные записи с входом из новых стран.
- Как проверить реестр на закрепление через ключи Run в Splunk по логам Sysmon?

## Похожие
- [threat-detection](https://affpapa.org/nevibecode/skills/threat-detection.md) — скилл · 637 установок
- [dt-sec-ioc-hunting](https://affpapa.org/nevibecode/skills/dt-sec-ioc-hunting.md) — скилл · 1000 установок
- [analyzing-azure-activity-logs-for-threats](https://affpapa.org/nevibecode/skills/analyzing-azure-activity-logs-for-threats.md) — скилл · 471 установка
- [analyzing-threat-intelligence-feeds](https://affpapa.org/nevibecode/skills/analyzing-threat-intelligence-feeds.md) — скилл · 316 установок
- [aem-workflow](https://affpapa.org/nevibecode/skills/aem-workflow.md) — скилл · 987 установок
- [windows-av-evasion](https://affpapa.org/nevibecode/skills/windows-av-evasion.md) — скилл · 3600 установок

Из того же набора: [briiirussell/cybersecurity-skills](https://affpapa.org/nevibecode/by/briiirussell/cybersecurity-skills.md) — 25 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md