/ ディレクトリ / プレイグラウンド / cti-expert
● コミュニティ 7onez ⚡ 即起動

cti-expert

作者 7onez · 7onez/cti-expert

Claude Code向けの防御的CTI+OSINTスキル — 67以上のコマンドと35の分析手法を搭載、APIキー不要です。

cti-expertはClaude Codeをジュニアレベルのサイバー脅威インテリジェンスアナリストに変えます。分析手法(ACH、SATs、ダイアモンドモデル、キルチェーンマッピング)の列挙、公開ソースからのOSINT収集、構造化フォーマット(STIX準拠、MITRE ATT&CK対応)でのレポート作成が可能です。本スキルは防御目的に限定されており、攻撃ツールやエクスプロイトツールは含まれていません。

なぜ使うのか

主な機能

ライブデモ

実際の動作

cti-expert-skill.replay ▶ 準備完了
0/0

インストール

クライアントを選択

~/Library/Application Support/Claude/claude_desktop_config.json  · Windows: %APPDATA%\Claude\claude_desktop_config.json
{
  "mcpServers": {
    "cti-expert-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/7onez/cti-expert",
        "~/.claude/skills/cti-expert"
      ],
      "_inferred": true
    }
  }
}

Claude Desktop → Settings → Developer → Edit Config を開く。保存後、アプリを再起動。

~/.cursor/mcp.json · .cursor/mcp.json
{
  "mcpServers": {
    "cti-expert-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/7onez/cti-expert",
        "~/.claude/skills/cti-expert"
      ],
      "_inferred": true
    }
  }
}

Cursor は Claude Desktop と同じ mcpServers スキーマを使用。プロジェクト設定はグローバルより優先。

VS Code → Cline → MCP Servers → Edit
{
  "mcpServers": {
    "cti-expert-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/7onez/cti-expert",
        "~/.claude/skills/cti-expert"
      ],
      "_inferred": true
    }
  }
}

Cline サイドバーの MCP Servers アイコンをクリックし、"Edit Configuration" を選択。

~/.codeium/windsurf/mcp_config.json
{
  "mcpServers": {
    "cti-expert-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/7onez/cti-expert",
        "~/.claude/skills/cti-expert"
      ],
      "_inferred": true
    }
  }
}

Claude Desktop と同じ形式。Windsurf を再起動して反映。

~/.continue/config.json
{
  "mcpServers": [
    {
      "name": "cti-expert-skill",
      "command": "git",
      "args": [
        "clone",
        "https://github.com/7onez/cti-expert",
        "~/.claude/skills/cti-expert"
      ]
    }
  ]
}

Continue はマップではなくサーバーオブジェクトの配列を使用。

~/.config/zed/settings.json
{
  "context_servers": {
    "cti-expert-skill": {
      "command": {
        "path": "git",
        "args": [
          "clone",
          "https://github.com/7onez/cti-expert",
          "~/.claude/skills/cti-expert"
        ]
      }
    }
  }
}

context_servers に追加。保存時に Zed がホットリロード。

claude mcp add cti-expert-skill -- git clone https://github.com/7onez/cti-expert ~/.claude/skills/cti-expert

ワンライナー。claude mcp list で確認、claude mcp remove で削除。

ユースケース

実用的な使い方: cti-expert

不審なインジケーター(IP、ドメイン、ハッシュ)を公開OSINTでエンリッチメントする方法

👤 SOCアナリスト、インシデントレスポンダー、ブルーチームエンジニア ⏱ ~15 min intermediate

使うタイミング: アラートからIOCを取得し、エスカレーション前にコンテキストが必要な場合に使用します。

前提条件
  • スキルのクローン — git clone https://github.com/7onez/cti-expert ~/.claude/skills/cti-expert
フロー
  1. インジケーターを送信する
    Enrich 185.234.218.95 using public OSINT — WHOIS, passive DNS (free sources), reputation feeds.✓ コピーしました
    → 構造化されたコンテキスト:ASN、地理情報、過去の名前解決履歴、既知の悪性情報
  2. 該当する場合はMITRE ATT&CKにマッピングする
    If this matches a known campaign, map to ATT&CK tactics/techniques.✓ コピーしました
    → ATT&CK IDを含むTTPリスト
  3. レポートを作成する
    Produce a tactical report: what it is, confidence level, recommended actions.✓ コピーしました
    → 簡潔な意思決定向けレポート

結果: 数分でチケットに添付できる、根拠のあるエンリッチメント結果が得られます。

注意点
  • レピュテーションスコアを絶対的な事実として扱う — ソースと日付を記録し、確信度を明示的に記載する
  • OSINT調査が対象に気付かれてしまう — パッシブソースのみを使用し、アクティブスキャンは行わない
組み合わせ: filesystem

少数のアーティファクトからキャンペーンレポートを作成する

👤 内部レポートを作成するCTIアナリスト ⏱ ~45 min advanced

使うタイミング: IOC、TTP、メモの集まりを読みやすいブリーフにまとめるよう依頼された場合に使用します。

フロー
  1. アーティファクトを整理する
    Here are the IOCs and notes. Cluster them by diamond-model facet (adversary, capability, infra, victim).✓ コピーしました
    → ダイアモンドモデル形式のクラスタリング
  2. ATT&CKにマッピングする
    Map observed behaviors to ATT&CK; note coverage gaps.✓ コピーしました
    → カバレッジマトリクス
  3. ブリーフを作成する
    Produce an executive section, a tactical section, and an IOC appendix.✓ コピーしました
    → 3部構成のレポート

結果: 一貫性があり、読者層に応じた階層構造を持つレビュー可能なレポートが完成します。

注意点
  • 確信度の表現を過大にする(「ほぼ確実」など) — IC標準の修飾語(高・中・低)を根拠とともに使用する

ACH(競合仮説分析)のウォークスルーを実施する

👤 帰属の曖昧さに取り組むアナリスト ⏱ ~30 min advanced

使うタイミング: 複数のアクターが証拠を説明しうる状況で、結論を出す前に構造化された分析が必要な場合に使用します。

フロー
  1. 仮説と証拠を列挙する
    Hypotheses: H1, H2, H3. Evidence: E1–E10. Set up the ACH matrix.✓ コピーしました
    → 各セルに整合性マークが付いたマトリクス
  2. 診断的価値の高い証拠を特定する
    Which evidence items have the highest diagnostic value?✓ コピーしました
    → 仮説を識別する能力でランク付けされた証拠
  3. 最も矛盾の少ない仮説を報告する
    Pick the least-inconsistent hypothesis and list what would flip it.✓ コピーしました
    → 選択結果と覆す条件となる反証

結果: 推論過程が文書化された透明性のある帰属判断が得られます。

注意点
  • 最初の仮説にアンカリングしてしまう — マトリクスを先に作成し、結論は最後に出す

組み合わせ

他のMCPと組み合わせて10倍の力を

cti-expert-skill + filesystem

未加工のアラートディレクトリを構造化された分析結果に変換する

Enrich every IOC under alerts/2025-04-01/ and produce a consolidated daily tactical report.✓ コピーしました

ツール

このMCPが提供する機能

ツール入力呼び出すタイミングコスト
indicator-enrichment IOC (IP/domain/hash/URL) 受信したインジケーターのトリアージ時 free OSINT queries
attck-mapping observed behaviors キャンペーンや検知ルールのレポート作成時 0
structured-analytic-techniques hypotheses + evidence 曖昧な分析問題に取り組む場合 0
report-templates findings 最終レポート作成ステップ 0

コストと制限

運用コスト

APIクォータ
使用するOSINTソースに依存します。デフォルトのソースはすべて無料枠です
呼び出しあたりのトークン
インジケーターワークフローあたり2〜10kトークン
金額
無料
ヒント
まずパッシブソースのみで開始し、カバレッジのギャップが正当化される場合にのみ有料フィードを追加してください

セキュリティ

権限、シークレット、影響範囲

認証情報の保管: デフォルトでは認証情報の保存なし。有料フィードのAPIキーは環境変数に格納されます
データ送信先: 許可リストに登録したOSINTエンドポイントのみ

トラブルシューティング

よくあるエラーと対処法

公開ソースによるRate limited

リクエストを制限するか代替ソースに切り替えてください — 多くのOSINTエンドポイントはレート制限に敏感です

Claudeがエンリッチメント結果をハルシネーションする

すべての主張に引用を求め、ソースのないエンリッチメントは却下してください

ATT&CKマッピングが汎用的すぎる

高レベルな要約ではなく、具体的な振る舞い(プロセス、コマンド、ネットワークパターン)を提供してください

代替案

cti-expert 他との比較

代替案代わりに使う場面トレードオフ
claude-cybersecurity-skillCTIだけでなく、より広範なセキュリティスキルが必要な場合範囲は広いが、CTI固有の機能は浅い
claude-security-research-skillインジケーターのトリアージではなく、脆弱性の調査を行う場合まったく異なる用途

その他

リソース

📖 GitHub の公式 README を読む

🐙 オープンな issue を見る

🔍 400以上のMCPサーバーとSkillsを見る