hunting-for-unusual-network-connections
Faz seu agente procurar por conexões de rede incomuns que podem indicar controle de um invasor. Ajuda a encontrar tráfego malicioso saindo de computadores.
O que ela faz
Esta ferramenta procura por atividades de rede incomuns em seus computadores. Ela ajuda a encontrar sinais de que um invasor pode estar se comunicando com um servidor malicioso.
Quando usar
- ✓Quando você quer procurar ativamente por atividades suspeitas na rede.
- ✓Se você recebeu informações sobre novas ameaças e quer verificar se elas estão presentes.
- ✓Quando um alerta de segurança é disparado indicando conexões estranhas.
Exemplo do que pedir para a IA
“Procure por conexões de rede incomuns que possam indicar controle de um invasor.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta examina os dados de rede dos seus computadores em busca de tráfego estranho, como conexões para lugares raros, usando portas não usuais ou com muita frequência. Ela compara isso com o que é considerado normal para identificar atividades suspeitas.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill hunting-for-unusual-network-connectionsOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/hunting-for-unusual-network-connections/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Caçando Conexões de Rede Incomuns
Quando Usar
- Ao procurar proativamente por indicadores de conexões de rede incomuns no ambiente.
- Após inteligência de ameaças indicar campanhas ativas usando essas técnicas.
- Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas.
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados.
- Durante avaliações de segurança periódicas e exercícios de time roxo.
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne).
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel).
- Sysmon implantado com configuração abrangente.
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado.
- Feeds de inteligência de ameaças para correlação de IOCs.
Fluxo de Trabalho
- Formular Hipótese: Defina uma hipótese testável com base em inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determine quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Execute consultas de detecção contra plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examine os resultados das consultas em busca de anomalias, correlacionando entre várias fontes de dados.
- Validar Descobertas: Distinga verdadeiros positivos de falsos positivos por meio de análise contextual.
- Correlacionar Atividade: Vincule as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registre as descobertas, atualize as regras de detecção e recomende ações de resposta.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| T1071 | Protocolo de Camada de Aplicação |
| T1095 | Protocolo Não de Camada de Aplicação |
| T1571 | Porta Não Padrão |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: Backdoor comunicando-se com C2 em porta não padrão.
- Cenário 2: Exfiltração de dados via DNS para nameserver do atacante.
- Cenário 3: Host comprometido escaneando a rede interna.
- Cenário 4: Minerador de criptomoedas conectando-se a um pool de mineração.
Formato de Saída
Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1071
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
O que são 'conexões incomuns'?
São conexões de rede que fogem do padrão normal, como um computador se comunicando com um servidor desconhecido, usando um tipo de porta que não é comum para aquele serviço, ou se comunicando muitas vezes em um curto período.
Preciso instalar algo para usar?
Sim, você precisa ter programas de segurança (como EDR) e sistemas de registro de eventos (como SIEM) configurados para coletar os dados de rede necessários.
O que o resultado mostra?
O resultado mostra detalhes sobre a conexão suspeita, como qual computador está envolvido, qual a evidência encontrada e o nível de risco, sugerindo o que fazer a seguir.
Detalhes
Descrição original do autor
Runs a hypothesis-driven threat hunt for command-and-control activity (T1071) by querying SIEM/EDR network telemetry for anomalous outbound traffic, rare destinations, non-standard ports, and unusual connection frequencies from endpoints. Use when hunting for beaconing/C2 traffic, after threat intel flags suspicious infrastructure, or when alerts fire on anomalous connections.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5814
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
agent-architecture-audit
Faz seu agente verificar se tudo está funcionando corretamente. Ele encontra e conserta problemas em sistemas de IA, garantindo que funcionem como esperado.
affaan-m/ECC
agent-eval
Ajuda seu agente a comparar diferentes ferramentas de programação de IA. Ele mede qual é mais rápido, barato e confiável para realizar tarefas específicas.
affaan-m/ECC
agent-harness-construction
Faz seu agente entender melhor como realizar tarefas. Ele otimiza as ferramentas e instruções que o agente usa para aumentar suas chances de sucesso.
affaan-m/ECC