detecting-insider-threat-behaviors
Ajuda seu agente a encontrar sinais de ameaças internas, como acesso estranho a dados ou roubo de informações por funcionários insatisfeitos. Permite agir antes que causem danos.
O que ela faz
Esta ferramenta ajuda a encontrar comportamentos suspeitos de funcionários que podem indicar roubo de dados ou outras ações maliciosas. Ela procura por acessos incomuns a arquivos, atividades fora do horário normal, downloads em massa e abuso de permissões.
Quando usar
- ✓Quando você quer procurar por atividades suspeitas de funcionários antes que algo aconteça.
- ✓Quando há suspeita de que um funcionário esteja roubando informações antes de sair da empresa.
- ✓Quando um alerta de segurança indica um possível problema com um funcionário.
Exemplo do que pedir para a IA
“Procure por funcionários acessando muitos arquivos fora do horário de trabalho.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta analisa registros de atividades do computador e da rede para identificar padrões incomuns. Ela compara o que está acontecendo com o que é considerado normal para cada funcionário.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-insider-threat-behaviorsOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/detecting-insider-threat-behaviors/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Detecção de Comportamentos de Ameaças Internas
Quando Usar
- Ao procurar proativamente por indicadores de detecção de comportamentos de ameaças internas no ambiente
- Após inteligência de ameaças indicar campanhas ativas usando essas técnicas
- Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados
- Durante avaliações de segurança periódicas e exercícios de equipe roxa
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne)
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel)
- Sysmon implantado com configuração abrangente
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado
- Feeds de inteligência de ameaças para correlação de IOCs
Fluxo de Trabalho
- Formular Hipótese: Definir uma hipótese testável com base em inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determinar quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Executar consultas de detecção contra plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examinar os resultados das consultas em busca de anomalias, correlacionando entre múltiplas fontes de dados.
- Validar Descobertas: Distinguir verdadeiros positivos de falsos positivos através de análise contextual.
- Correlacionar Atividade: Ligar as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registrar descobertas, atualizar regras de detecção e recomendar ações de resposta.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| T1078 | Contas Válidas |
| T1530 | Dados de Objeto de Armazenamento em Nuvem |
| T1567 | Exfiltração por Serviço Web |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: Funcionário baixando arquivos em massa antes da demissão
- Cenário 2: Administrador de TI acessando dados de RH fora de sua função de trabalho
- Cenário 3: Conta de serviço usada para consultas de dados não autorizadas
- Cenário 4: Contratado copiando código-fonte para armazenamento em nuvem pessoal
Formato de Saída
Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1078
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
Quais programas são necessários para usar essa ferramenta?
É preciso ter programas que monitoram o que acontece nos computadores (como CrowdStrike ou Microsoft Defender) e sistemas que guardam e analisam registros (como Splunk ou Elastic).
O que são 'indicadores de comportamento'?
São sinais de alerta que mostram que algo incomum ou suspeito pode estar acontecendo, como um funcionário acessando dados que não deveria.
O que acontece se a ferramenta encontrar algo suspeito?
A ferramenta gera um relatório com detalhes sobre a atividade, o risco e o que pode ser feito a respeito, como investigar mais ou tomar ações de segurança.
Detalhes
Descrição original do autor
Detect insider threat behavioral indicators including unusual data access, off-hours activity, mass file downloads, privilege abuse, and resignation-correlated data theft. Use when proactively threat-hunting for malicious or negligent insider activity, or when investigating a departing or disgruntled employee for potential data theft.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5673
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
agent-architecture-audit
Faz seu agente verificar se tudo está funcionando corretamente. Ele encontra e conserta problemas em sistemas de IA, garantindo que funcionem como esperado.
affaan-m/ECC
agent-eval
Ajuda seu agente a comparar diferentes ferramentas de programação de IA. Ele mede qual é mais rápido, barato e confiável para realizar tarefas específicas.
affaan-m/ECC
agent-harness-construction
Faz seu agente entender melhor como realizar tarefas. Ele otimiza as ferramentas e instruções que o agente usa para aumentar suas chances de sucesso.
affaan-m/ECC