CB detecting-ransomware-precursors-in-network

Обнаруживает ранние признаки программ-вымогателей в сетевом трафике до начала шифрования, включая активность брокеров первоначального доступа, маяки командно-контрольных серверов, сбор учетных данных, сканирование разведки и поведение подготовки. Использует инструменты сетевого обнаружения (Zeek, Suricata, Arkime), правила корреляции SIEM и каналы разведки угроз для выявления паттернов-предшественников программ-вымогателей, таких как маяки Cobalt Strike, сетевые сигнатуры Mimikatz и попытки перебора RDP. Активируется для запросов, связанных с обнаружением до шифрования, сетевыми индикаторами программ-вымогателей или мониторингом программ-вымогателей на раннем предупреждении.

машинный переводПоказать оригинал«Detects early-stage ransomware indicators in network traffic before en…»

Detects early-stage ransomware indicators in network traffic before encryption begins, including initial access broker activity, command-and-control beaconing, credential harvesting, reconnaissance scanning, and staging behavior. Uses network detection tools (Zeek, Suricata, Arkime), SIEM correlation rules, and threat intelligence feeds to identify ransomware precursor patterns such as Cobalt Strike beacons, Mimikatz network signatures, and RDP brute-force attempts. Activates for requests involving pre-ransomware detection, network-based ransomware indicators, or early warning ransomware monitoring.

mukul975/Anthropic-Cybersecurity-Skills Agent Skills автор: mukul975 Apache-2.0 8 файлов · 2 скрипта тело ≈ 3 363 токенов Открыть источникgithub.com↗ проанализирован 5 дн назад

Обнаруживает ранние признаки программ-вымогателей в сетевом трафике до начала шифрования, включая активность брокеров первоначального доступа, маяки…

Как процесс B 72/100 · Почти готов — слабые места: ошибки и развилки, повторный запуск

Анализатор Безопасностьтип и темы размечены автоматически по тексту скилла

Запускается в: Claude / Claude Code ChatGPT / Codex Gemini CLI Cursor GitHub Copilot / VS Code Qwen Code Kimi Code CLI Z.ai (GLM) DeepSeek (Deep Code) Mistral Vibe LangChain (deepagents) OpenClaw Goose OpenCode

JSON

Технический рейтинг

80/100

безопасность, качество, тесты

Безопасность 60%: 79
Качество 40%: 82
Прогон на моделях: не было

Процессный рейтинг

72/100

Почти готов

Ошибки и развилки вес 10: 0
Повторный запуск вес 4: 30
Когда включается вес 12: 50

три самых слабых из десяти параметров · все десять

Как улучшить

Для прогона на моделях — необязательно

Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.

Находки guard · 21

✓ Критических и высоких находок нет

Средние и низкие: 21

низкая Рискованное назначение intent-offensive-security assets/template.md:1

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
# Ransomware Precursor Detection Deployment Template
```
низкая Рискованное назначение intent-offensive-security assets/template.md:19

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
| | Lateral Movement | | | |
```
низкая Рискованное назначение intent-offensive-security references/api-reference.md:1

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
# API Reference — Detecting Ransomware Precursors in Network Traffic
```
детектор
низкая Рискованное назначение intent-offensive-security references/api-reference.md:76

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
# Ransomware-related alerts in last hour
```
низкая Рискованное назначение intent-offensive-security references/api-reference.md:77

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
jq 'select(.event_type=="alert") | select(.alert.signature | test("ransomware|cobalt|mimikatz|psexec";"i"))' \
```
детектор
низкая Рискованное назначение intent-offensive-security references/api-reference.md:106

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
## Splunk SPL — Ransomware Precursor Queries
```
низкая Рискованное назначение intent-offensive-security references/api-reference.md:108

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
### Internal lateral movement via SMB/RDP/WinRM
```
низкая Рискованное назначение intent-offensive-security references/standards.md:1

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
# Standards & References - Detecting Ransomware Precursors
```
детектор
низкая Рискованное назначение intent-offensive-security references/standards.md:10

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
### Command and Control (TA0011)
```
низкая Рискованное назначение intent-offensive-security references/standards.md:26

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
### Lateral Movement (TA0008)
```
низкая Рискованное назначение intent-offensive-security references/standards.md:35

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
- AA23-136A: #StopRansomware - BianLian Ransomware Group
```
низкая Рискованное назначение intent-offensive-security references/standards.md:36

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
- AA23-158A: #StopRansomware - CL0P Ransomware Gang
```
низкая Рискованное назначение intent-offensive-security references/workflows.md:1

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
# Workflows - Detecting Ransomware Precursors in Network
```
детектор
низкая Рискованное назначение intent-offensive-security references/workflows.md:18

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
[Install Suricata IDS] --> Load ET Open + custom ransomware rules
```
низкая Рискованное назначение intent-offensive-security references/workflows.md:38

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
## Workflow 2: Alert Triage for Ransomware Precursors
```
низкая Рискованное назначение intent-offensive-security references/workflows.md:46

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
|-- Credential Harvesting --> Priority: CRITICAL, SLA: 15 min
```
низкая Рискованное назначение intent-offensive-security SKILL.md:2

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
name: detecting-ransomware-precursors-in-network
```
детектор
низкая Рискованное назначение intent-offensive-security SKILL.md:3

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
```
description: 'Detects early-stage ransomware indicators in network traffic before
```
детектор
низкая Рискованное назначение intent-offensive-security SKILL.md:5

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
beaconing, credential harvesting, reconnaissance scanning, and staging behavior.
```
низкая Рискованное назначение intent-offensive-security SKILL.md:7

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
threat intelligence feeds to identify ransomware precursor patterns such as Cobalt
```
низкая Рискованное назначение intent-offensive-security SKILL.md:9

Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
```
for requests involving pre-ransomware detection, network-based ransomware indicators,
```

Просканировано файлов: 8. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.

По спецификации Agent Skills

заметка frontmatter-key неизвестное поле фронтматтера "domain"
заметка frontmatter-key неизвестное поле фронтматтера "subdomain"
заметка frontmatter-key неизвестное поле фронтматтера "nist_csf"
заметка frontmatter-key неизвестное поле фронтматтера "mitre_attack"
заметка frontmatter-key неизвестное поле фронтматтера "mitre_f3"

Процессный рейтинг: все десять параметров 72/100

0Ошибки и развилки. Линейный процесс без обработки сбоев
30Повторный запуск. Изменяющих операций: 8, без проверки текущего состояния
50Когда включается. Не сказано, при каком запросе скилл включается
60Результат и критерий готовности. Формат результата описан, критерия завершения нет
70Входы и предусловия. Входные данные и предусловия перечислены
100Инструменты и файлы. Внешние инструменты не нужны
100Шаги. Шагов: 27
100Согласованность. Имя и обязательные поля на месте
100Стоимость исполнения. Тело инструкции 3363 токенов
100Отчётность по ходу. Скилл сообщает о ходе работы

Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.

Сигналы качества

+5В description нет примеров фраз, по которым скилл должен срабатывать
-43 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
-32 из 2 скриптов не упомянуты в SKILL.md
+2Инструкции на одном языке
+4Описание говорит, когда скилл НЕ применять
+3Длина description 606 символов: достаточно сигнала, не съедает бюджет
+4Структура: 14 заголовков
+3Пошаговые инструкции: 27 пунктов
+3Формат ответа описан явно
+4Есть примеры (6 блоков кода)
+1Лицензия указана

База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 82.

Тесты

— нет evals.json

— нет spec.yaml

— на моделях не проверялся

Файлы · 8

LICENSE 11K
SKILL.md 15K
assets/template.md 2K
references/api-reference.md 5K
references/standards.md 2K
references/workflows.md 3K
scripts/agent.py 7K
scripts/process.py 19K

Когда применять

- Building detection rules for pre-ransomware network activity (the average time from Cobalt Strike deployment to encryption is 17 minutes) - Monitoring for initial access broker (IAB) indicators that precede ransomware deployment - Creating SIEM correlation rules that chain multiple precursor events into high-confidence alerts - Tuning network detection systems to distinguish ransomware staging from normal administrative activity - Investigating suspicious network patterns that may indicate ran

Фронтматтер

domain: cybersecurity

subdomain: ransomware-defense

tags: ["ransomware","detection","network-security","incident-response","defense"]

version: 1.0.0

author: mahipal

license: Apache-2.0

nist_csf: ["PR.DS-11","RS.MA-01","RC.RP-01","PR.IR-01"]

mitre_attack: ["T1078","T1190","T1059","T1003","T1110"]

mitre_f3: {"version":"1.1","tactics":["initial-access","positioning","monetization"],"techniques":[{"id":"T1110","name":"Brute For

Даты

В каталоге с —

Обновлён в каталоге 31 авг. 2026 г.

Впервые у нас 9 окт. 2026 г.

Последний анализ 24 окт. 2026 г., 12:05 UTC

Последний обход 7 ч назад

История оценки

Дата		Оценка	Безоп.	Кач.
9 окт. 2026 г.	C	80	79	82

Автору: значок в README

html

Значок показывает сегодняшнюю оценку: если скилл изменится, изменится и он. Подробнее.