annatchijova/vigia-cases

# vigia-cases **VIGÍA 取证意图分析 — 公开 DFIR 基准测试数据集** 由 **Anna Tchijova** 策划 | 由 VIGÍA Collective (Claude, Kimi, Gemini, DeepSeek, ChatGPT, Qwen) 验证 为 **SANS FIND EVIL 黑客马拉松 2026** 准备 ## 这里包含什么 10 个来自经过验证的公开来源 (NIST CFReDS, DFRWS, Digital Corpora, Ali Hadi, Volatility Foundation) 的真实取证案例，已转换为标准的 VIGÍA 格式，用于对取证意图分析 agent 进行基准测试。 每个案例包含： - `case.json` — 事件描述符 + 工件 (agent 输入，**未暴露 ground truth**) - `ground_truth.json` — 标准判决、MITRE TTPs、Peirce 分类、IOCs - `manifest.json` — 每个文件的 SHA-256 哈希值 ## 仓库结构 ``` vigia-cases/ ├── LICENSE Apache 2.0 ├── README.md This file (English) ├── SCORING_GUIDE.md How to score agents against this dataset ├── index.json Global index of all cases + metadata ├── hashes.sha256 SHA-256 hashes of every file in the repo └── cases/ ├── VIGIA-REAL-001/ NIST Hacking Case (Greg Schardt / Mr. Evil) ├── VIGIA-REAL-002/ NIST Data Leakage (insider threat) ├── VIGIA-REAL-003/ Ali Hadi Web Server Compromise ├── VIGIA-REAL-004/ Ali Hadi SysInternals Malware ├── VIGIA-REAL-005/ Ali Hadi Encrypt Them All (SUSPICION, not MALICE) ├── VIGIA-REAL-006/ Digital Corpora M57-Jean Spear-Phishing ├── VIGIA-REAL-007/ Digital Corpora Nitroba Harassment ├── VIGIA-REAL-008/ Volatility Cridex Banking Trojan ├── VIGIA-REAL-009/ DFRWS 2008 Linux Exfiltration └── VIGIA-REAL-010/ DFRWS 2011 Android Espionage ``` ## 可用性分类 由 **Rob T. Lee** (SANS) 在黑客马拉松背景下应用的分类。 ### ✅ 计分对象 — 可靠评分 | 案例 | 来源 | 事件 | |------|--------|----------| | VIGIA-REAL-007 | Digital Corpora — Nitroba | 网络取证，Gmail cookie 归属 | | VIGIA-REAL-002 | NIST CFReDS — 数据泄露 | 内部人员窃取 + 反取证 | | VIGIA-REAL-001 | NIST CFReDS — 黑客攻击案例 | 战争驾驶，凭据盗窃 | Ground truth 可与答案密钥或确认的标准哈希值进行验证。 ### ⚠️ 构建和测试 — 谨慎评分 | 案例 | 来源 | 事件 | 备注 | |------|--------|----------|------| | VIGIA-REAL-005 | Ali Hadi #9 | 加密隐藏 | **故意的误报测试：SUSPICION，而非 MALICE** | | VIGIA-REAL-003 | Ali Hadi #1 | Web 妥协 → 持久化 | 磁盘 + 内存，受讲师控制的答案 | | VIGIA-REAL-009 | DFRWS 2008 | Linux 管理共享数据窃取 | Ground truth 由 Anna Tchijova 构建 | 学术文献中存在解决方案。请报告 agent 是通过逻辑推理还是凭记忆得出的结论。 ### 🔵 仅限练习 — 不评分 | 案例 | 来源 | 原因 | |------|--------|--------| | VIGIA-REAL-006 | Digital Corpora M57-Jean | 解决方案已广泛发布 | | VIGIA-REAL-004 | Ali Hadi #7 SysInternals | 受讲师控制的 E01 | ### 🔴 尚未就绪 — 不要使用 | 案例 | 原因 | |------|--------| | VIGIA-REAL-010 | 证据位于个人 Dropbox 上（易失）；README 中标记为 MD5 的哈希实际上是 SHA1 | | VIGIA-REAL-008 | 标准下载链接失效；仓库已于 2025 年 5 月以只读方式归档 | ## 关键说明：VIGIA-REAL-005 本案例是**误报门**。预期的判决是 `SUSPICION`，而不是 `MALICE`。如果 agent 在此触发 `MALICE`，则说明它未达到特异性阈值。使用多重加密层具有歧义——它可能是合法的个人安全实践。 ## 如何将此数据集与 VIGÍA 配合使用 ``` # 克隆 VIGÍA 主 repo git clone git@github.com:annatchijova/vigia-intent-analysis.git cd vigia-intent-analysis # 通过 engine 运行 case python3 run_case.py cases/VIGIA-REAL-007/case.json # 与 ground truth 进行比较 python3 run_case.py cases/VIGIA-REAL-007/case.json \ --ground-truth cases/VIGIA-REAL-007/ground_truth.json ``` ## 关于证据的说明 本仓库分发源自公开数据集的结构化取证抽象（JSON 案例描述符）。原始证据文件（磁盘镜像、内存转储、pcap 文件）通过 URL 引用，但未被重新分发。用户必须直接从每个案例中列出的权威来源下载原始证据。 ## 完整性验证 ``` sha256sum --check hashes.sha256 ``` ## 评分 请参阅 `SCORING_GUIDE.md` 获取完整的指标、阈值和报告协议。 主要指标： - **判决准确率** — 在 `score_against` 级别案例中正确判决的百分比 - **FPR** — 误报率（VIGIA-REAL-005 是专门的特异性测试） - **FNR-MAL** — 被归类为 BENIGN/NOISE 的恶意案例 - **TTP 覆盖率** — 正确识别出的 MITRE TTPs 百分比 ## 许可证 Apache License 2.0 — 请参阅 `LICENSE`。 源数据集来自经过验证的公开来源，具有各自的许可证： - NIST CFReDS：公有领域 - Digital Corpora：CC BY - DFRWS Challenges：开放访问 - Ali Hadi Challenges：教育用途

标签：Homebrew安装, 逆向工具