● مجتمع
7onez
⚡ فوري
cti-expert
بواسطة 7onez · 7onez/cti-expert
مهارة تحليل ذكاء التهديدات الدفاعي + OSINT لـ Claude Code — 67+ أوامر و 35 تقنية، بدون مفاتيح API مطلوبة
cti-expert يحول Claude Code إلى محلل ذكاء تهديدات سيبراني مبتدئ: يعدد التقنيات التحليلية (ACH, SATs, diamond model, kill-chain mapping)، ويسحب OSINT من مصادر عامة، ويكتب النتائج بتنسيقات منظمة (STIX-flavored, MITRE ATT&CK-aligned). إنها مهارة دفاعية — لا تتضمن أدوات هجومية أو استغلال
لماذا تستخدمه
الميزات الأساسية
- اختصارات أوامر 67+ للمهام الشائعة في ذكاء التهديدات
- 35 تقنية تحليلية (ACH, diamond model, SATs)
- مساعدات تعيين MITRE ATT&CK
- OSINT عام فقط — بدون مفاتيح API، بدون خدمات مدفوعة مطلوبة
- قوالب إعداد تقارير منظمة (تنفيذي، تكتيكي، تقني)
عرض مباشر
كيف يبدو في الممارسة
cti-expert-skill.replay
▶ جاهز
حالات الاستخدام
استخدامات عملية: cti-expert
متى تستخدمه: لديك IOC من تنبيه وتحتاج إلى سياق قبل الإبلاغ عنه
الخطوات
-
قدم المؤشر
أثرِ 185.234.218.95 باستخدام OSINT عام — WHOIS, passive DNS (free sources), reputation feeds✓ تم النسخ
→ سياق منظم: ASN, geo, historical resolutions, known bad
-
عيّن إلى MITRE ATT&CK إن أمكن
إذا تطابق هذا مع حملة معروفة، عيّنه إلى ATT&CK tactics/techniques✓ تم النسخ
→ قائمة TTP مع ATT&CK IDs
-
اكتب التقرير
أنتج تقريراً تكتيكياً: ما هو، مستوى الثقة، الإجراءات الموصى بها✓ تم النسخ
→ تقرير موجز وموجه نحو القرار
النتيجة: إثراء يمكن الدفاع عنه يمكنك إرفاقه بتذكرة في دقائق
المزالق
- معاملة درجات السمعة كحقيقة مطلقة — سجل المصدر + التاريخ؛ اذكر الثقة بوضوح
- استعلامات OSINT قد تنبه الهدف عن غير قصد — استخدم المصادر السلبية فقط؛ بدون فحص نشط
متى تستخدمه: طُلب منك تحويل مجموعة من IOCs, TTPs, والملاحظات إلى ملخص قابل للقراءة
الخطوات
-
جميع الأثريات
فيما يلي IOCs والملاحظات. جميعها حسب diamond-model facet (adversary, capability, infra, victim)✓ تم النسخ
→ تجميع على شكل diamond-model
-
عيّن إلى ATT&CK
عيّن السلوكيات المرصودة إلى ATT&CK؛ لاحظ فجوات التغطية✓ تم النسخ
→ مصفوفة التغطية
-
اكتب الملخص
أنتج قسماً تنفيذياً، وقسماً تكتيكياً، وملحق IOC✓ تم النسخ
→ تقرير من 3 أجزاء
النتيجة: تقرير متسق وموزع حسب الجمهور جاهز للمراجعة
المزالق
- تضخيم لغة الثقة ('almost certainly') — فرض qualifiers بأسلوب IC (high/moderate/low) مع التفكير
متى تستخدمه: يمكن لعدة جهات فاعلة أن تشرح الأدلة؛ تريد هيكلاً قبل اختيار واحدة
الخطوات
-
قائمة الفرضيات + الأدلة
Hypotheses: H1, H2, H3. Evidence: E1–E10. قم بإعداد مصفوفة ACH✓ تم النسخ
→ مصفوفة مع علامات اتساق لكل خلية
-
حدد الأدلة التشخيصية
أي عناصر الأدلة لها أعلى قيمة تشخيصية؟✓ تم النسخ
→ الأدلة مرتبة حسب القدرة على التمييز
-
قرر الفرضية الأقل تضاربا
اختر الفرضية الأقل تضاربا وأدرج ما سيقلبها✓ تم النسخ
→ Selection + counter-evidence triggers
النتيجة: قرار نسبة شفاف مع تفكير موثق
المزالق
- التثبيت على الفرضية الأولى — فرض المصفوفة أولاً، الاستنتاج أخيراً
التركيبات
اجمعها مع خوادم MCP أخرى لتحقيق نتائج x10
معالجة دليل من التنبيهات الأولية إلى النتائج المنظمة
أثرِ كل IOC تحت alerts/2025-04-01/ وأنتج تقريراً تكتيكياً يومياً موحداً✓ تم النسخ
التكلفة والحدود
تكلفة التشغيل
- حصة API
- يعتمد على مصادر OSINT المستخدمة؛ جميع المصادر الافتراضية مجانية
- الرموز لكل استدعاء
- 2–10k tokens لكل سير عمل مؤشر
- التكلفة المالية
- مجاني
- نصيحة
- ابدأ بالمصادر السلبية فقط؛ أضف خدمات مدفوعة فقط إذا كانت فجوات التغطية تبررها
الأمان
الصلاحيات والأسرار ونطاق الأثر
تخزين بيانات الاعتماد: لا شيء بشكل افتراضي؛ أي مفتاح API للخدمة المدفوعة يعيش في env vars
نقل البيانات الخارجي: فقط نقاط نهاية OSINT التي تسمح قائمتك
- استخدام دفاعي صارم — لا تستخدم ناتج الإثراء لاستهداف الأفراد أو المنظمات
- قد يتم تسجيل استعلامات OSINT بواسطة البنية التحتية للهدف؛ فضل المصادر السلبية
- احترم الأطر القانونية (GDPR, data protection) عند التعامل مع IOCs المرتبطة بالأشخاص
استكشاف الأخطاء
الأخطاء الشائعة وحلولها
تم الحد من المعدل بواسطة مصدر عام
قيد أو تبديل إلى مصدر بديل — نقاط نهاية OSINT كثيرة حساسة
Claude يتخيل نتيجة إثراء
طلب اقتباسات لكل مطالبة؛ رفض الإثراء بدون مصدر
تعيين ATT&CK عام جداً
قدم سلوكيات ملموسة (processes, commands, network patterns)، وليس ملخصات عالية المستوى
البدائل
cti-expert مقابل البدائل
| البديل | متى تستخدمها | المقايضة |
|---|
| claude-cybersecurity-skill | تريد مهارات أمان أوسع، وليس فقط CTI | أوسع لكن أقل عمقاً في تفاصيل CTI |
| claude-security-research-skill | أنت تبحث عن الثغرات بدلاً من فرز المؤشرات | وظيفة مختلفة تماماً |