/ ディレクトリ / プレイグラウンド / cti-expert
← 全サーバー ↗ GitHub
● コミュニティ 7onez ⚡ 即起動

cti-expert

作者 7onez · 7onez/cti-expert

Claude Code向けの防御的CTI＋OSINTスキル — 67以上のコマンドと35の分析手法を搭載、APIキー不要です。

cti-expertはClaude Codeをジュニアレベルのサイバー脅威インテリジェンスアナリストに変えます。分析手法（ACH、SATs、ダイアモンドモデル、キルチェーンマッピング）の列挙、公開ソースからのOSINT収集、構造化フォーマット（STIX準拠、MITRE ATT&CK対応）でのレポート作成が可能です。本スキルは防御目的に限定されており、攻撃ツールやエクスプロイトツールは含まれていません。

▶ デモを見る 📦 インストール 💡 ユースケース

なぜ使うのか

主な機能

ライブデモ

実際の動作

cti-expert-skill.replay ▶ 準備完了
0/0

インストール

作者のリポジトリ · Claude Skills の公式ドキュメント

ユースケース

実用的な使い方： cti-expert

不審なインジケーター（IP、ドメイン、ハッシュ）を公開OSINTでエンリッチメントする方法

👤 SOCアナリスト、インシデントレスポンダー、ブルーチームエンジニア ⏱ ~15 min intermediate

使うタイミング： アラートからIOCを取得し、エスカレーション前にコンテキストが必要な場合に使用します。

フロー
  1. インジケーターを送信する
    Enrich 185.234.218.95 using public OSINT — WHOIS, passive DNS (free sources), reputation feeds.✓ コピーしました
    → 構造化されたコンテキスト：ASN、地理情報、過去の名前解決履歴、既知の悪性情報
  2. 該当する場合はMITRE ATT&CKにマッピングする
    If this matches a known campaign, map to ATT&CK tactics/techniques.✓ コピーしました
    → ATT&CK IDを含むTTPリスト
  3. レポートを作成する
    Produce a tactical report: what it is, confidence level, recommended actions.✓ コピーしました
    → 簡潔な意思決定向けレポート

結果： 数分でチケットに添付できる、根拠のあるエンリッチメント結果が得られます。

注意点
  • レピュテーションスコアを絶対的な事実として扱う — ソースと日付を記録し、確信度を明示的に記載する
  • OSINT調査が対象に気付かれてしまう — パッシブソースのみを使用し、アクティブスキャンは行わない
組み合わせ： filesystem

少数のアーティファクトからキャンペーンレポートを作成する

👤 内部レポートを作成するCTIアナリスト ⏱ ~45 min advanced

使うタイミング： IOC、TTP、メモの集まりを読みやすいブリーフにまとめるよう依頼された場合に使用します。

フロー
  1. アーティファクトを整理する
    Here are the IOCs and notes. Cluster them by diamond-model facet (adversary, capability, infra, victim).✓ コピーしました
    → ダイアモンドモデル形式のクラスタリング
  2. ATT&CKにマッピングする
    Map observed behaviors to ATT&CK; note coverage gaps.✓ コピーしました
    → カバレッジマトリクス
  3. ブリーフを作成する
    Produce an executive section, a tactical section, and an IOC appendix.✓ コピーしました
    → 3部構成のレポート

結果： 一貫性があり、読者層に応じた階層構造を持つレビュー可能なレポートが完成します。

注意点
  • 確信度の表現を過大にする（「ほぼ確実」など） — IC標準の修飾語（高・中・低）を根拠とともに使用する

ACH（競合仮説分析）のウォークスルーを実施する

👤 帰属の曖昧さに取り組むアナリスト ⏱ ~30 min advanced

使うタイミング： 複数のアクターが証拠を説明しうる状況で、結論を出す前に構造化された分析が必要な場合に使用します。

フロー
  1. 仮説と証拠を列挙する
    Hypotheses: H1, H2, H3. Evidence: E1–E10. Set up the ACH matrix.✓ コピーしました
    → 各セルに整合性マークが付いたマトリクス
  2. 診断的価値の高い証拠を特定する
    Which evidence items have the highest diagnostic value?✓ コピーしました
    → 仮説を識別する能力でランク付けされた証拠
  3. 最も矛盾の少ない仮説を報告する
    Pick the least-inconsistent hypothesis and list what would flip it.✓ コピーしました
    → 選択結果と覆す条件となる反証

結果： 推論過程が文書化された透明性のある帰属判断が得られます。

注意点
  • 最初の仮説にアンカリングしてしまう — マトリクスを先に作成し、結論は最後に出す

組み合わせ

他のMCPと組み合わせて10倍の力を

cti-expert-skill + filesystem

未加工のアラートディレクトリを構造化された分析結果に変換する

Enrich every IOC under alerts/2025-04-01/ and produce a consolidated daily tactical report.✓ コピーしました

ツール

このMCPが提供する機能

ツール入力呼び出すタイミングコスト
indicator-enrichment IOC (IP/domain/hash/URL) 受信したインジケーターのトリアージ時 free OSINT queries
attck-mapping observed behaviors キャンペーンや検知ルールのレポート作成時 0
structured-analytic-techniques hypotheses + evidence 曖昧な分析問題に取り組む場合 0
report-templates findings 最終レポート作成ステップ 0

コストと制限

運用コスト

APIクォータ
使用するOSINTソースに依存します。デフォルトのソースはすべて無料枠です
呼び出しあたりのトークン
インジケーターワークフローあたり2〜10kトークン
金額
無料
ヒント
まずパッシブソースのみで開始し、カバレッジのギャップが正当化される場合にのみ有料フィードを追加してください

セキュリティ

権限、シークレット、影響範囲

認証情報の保管： デフォルトでは認証情報の保存なし。有料フィードのAPIキーは環境変数に格納されます
データ送信先： 許可リストに登録したOSINTエンドポイントのみ

トラブルシューティング

よくあるエラーと対処法

公開ソースによるRate limited

リクエストを制限するか代替ソースに切り替えてください — 多くのOSINTエンドポイントはレート制限に敏感です

Claudeがエンリッチメント結果をハルシネーションする

すべての主張に引用を求め、ソースのないエンリッチメントは却下してください

ATT&CKマッピングが汎用的すぎる

高レベルな要約ではなく、具体的な振る舞い（プロセス、コマンド、ネットワークパターン）を提供してください

代替案

cti-expert 他との比較

代替案代わりに使う場面トレードオフ
claude-cybersecurity-skillCTIだけでなく、より広範なセキュリティスキルが必要な場合範囲は広いが、CTI固有の機能は浅い
claude-security-research-skillインジケーターのトリアージではなく、脆弱性の調査を行う場合まったく異なる用途

その他

リソース

📖 GitHub の公式 README を読む

🐙 オープンな issue を見る

🔍 400以上のMCPサーバーとSkillsを見る