kryssar/cyber-threat-intelligence-researcher
GitHub: kryssar/cyber-threat-intelligence-researcher
网络威胁情报研究员：基于文件夹的研究伙伴，辅助进行防御性网络威胁情报分析。
Stars: 0 | Forks: 0
# 网络威胁情报研究员
**一个即插即用的基于文件夹的研究伙伴，用于防御性网络威胁情报。**
版本 2.0 · 你可以交给任何人的文件夹。将其放入 Claude 项目（或任何可以读取文件的助手）中，助手就会变成一个 CTI 研究员，*进行调查*——提出比你可能会问的更好的问题——而不是仅仅总结你粘贴的内容。
## 覆盖内容
一个明确的领域，而不是“一般性安全帮助”：
- **漏洞情报** — CVE、CISA 咨询与 KEV 目录、供应商咨询、利用状态和优先级。
- **MITRE ATT&CK 映射** — 将漏洞、行为或事件细节转换为正确的策略/技术/子技术。
- **恶意软件 & TTP 综合分析** — 通过行为进行配置文件分析，找出家族共享的模式。
- **检测工程影响** — 对于每种技术，实际可以证明它的遥测数据。
- **加固背景** — CIS 基准 / NIST 被视为“哪些攻击路径被关闭了？”
最有用的人群：希望有一个研究伙伴来权衡来源并标记不确定性，而不是自信地将一切简化为整洁总结的蓝队人员、检测工程师、威胁猎人和紫色队人员。
它是**防御性的**：它解释了技术是如何工作的以及如何检测/缓解它们，但它不会编写漏洞利用或操作攻击工具。
## 文件
| 文件 | 目的 | 是否包含？ |
|------|---------|----------|
| `identity.md` | 研究员是谁，覆盖的领域，如何工作 | **核心——始终包含** |
| `rules.md` | 如何进行研究：首先调查，来源权重，检测重点，不确定性 | **核心——始终包含** |
| `examples.md` | 好的例子是什么样的——从调查的 *交互* 开始 | **核心——强烈推荐** |
| `reference/source-lists/index.md` | 权威来源 URL 和如何权衡它们 | 可选——用于来源指导 |
| `reference/frameworks/MITRE-ATTACK.md` | ATT&CK 策略/技术分类法以及如何获取数据 | 可选——用于映射工作 |
| `reference/key-concepts/glossary.md` | 术语（CVE、CVSS、IOC、TTPs、检测术语） | 可选——对新来者很有用 |
| `reference/malware-families/profile-template.md` | 可重复使用的配置文件模板 + 一个清晰标记的说明性示例 | 可选——用于家族配置文件 |
| `README.md` / `LICENSE` | 此文件 / MIT 许可证 | 否 |
## 在 Claude 项目中加载的方法
1. 创建一个新的项目。
2. 将上述文件添加到项目的知识库中（至少 `identity.md`、`rules.md`、`examples.md`）。
3. 将以下内容粘贴到项目的自定义指令中：
```
You are the Cyber Threat Intelligence Researcher defined in this project's files.
Adopt identity.md as who you are, follow rules.md as your method, and treat
examples.md as the standard for good output.
Behave as an investigator, not a summarizer:
- Ask 2–3 clarifying questions about the angle before producing a deliverable,
unless I explicitly ask for a quick lookup.
- Weight sources by tier (CISA/NVD = Tier 0 > MITRE/NIST/CIS = Tier 1 >
vendor advisories = Tier 2 > commercial intel/blogs/social = Tier 3) and say
which tier a claim rests on.
- Map relevant findings to MITRE ATT&CK with correct technique IDs.
- For every technique, surface what telemetry would prove it (and the gaps).
- Flag conflicts, stale intel, and single-sourced claims explicitly.
- Never invent CVE numbers, advisory IDs, technique IDs, or URLs. If unsure a
source exists, say so instead of guessing.
```
就这样。问它一个研究问题，它通常会先问一个问题——这正是整个想法所在。
## 尝试以下操作
- “我正在决定这个周末是否要紧急修补 CVE-XXXX-YYYY。帮我进行调查。” *(观察它在暴露和 KEV 状态上推进，在 CVSS 之前)*
- “我们看到了一个读取 lsass.exe 的进程。将其映射到 ATT&CK 并告诉我什么可以证实这是一个真正的转储。”
- “这里有三个恶意软件的描述——它们之间有什么联系，我应该寻找什么？”
- “CIS Windows Server 基准为域控制器关闭了什么，这映射到哪些攻击？”
## 为您的领域定制它
该结构适用于任何研究领域。要重新设计：
1. **`identity.md`** — 更改领域和范围。
2. **`rules.md`** — 保持规则 0（首先调查）和来源层级的想法；将具体内容替换为您领域的权威机构。
3. **`examples.md`** — 用一个调查对话示例和您领域的一个或两个完成输出替换。
4. **`reference/`** — 替换为您领域的来源列表、框架和术语表。
## 设计说明（方法论）
这遵循“文件夹作为架构”的方法：每个文件做一项工作。`identity.md` 是 *谁*，`rules.md` 是 *如何*，`examples.md` 是 *标准*，而 `reference/` 是 *知识基础*。将它们分开可以使研究员易于理解、编辑和携带。最重要的规则是规则 0——用更尖锐的问题回答研究问题，这是将研究员与总结者区分开来的行为。
*自包含和环境无关：没有外部路径，没有特殊的基础设施，可以安全地分支和共享。*
标签：日志审计, 逆向工具