Nebulock-Inc/agentic-threat-hunting-framework

Agentic Threat Hunting Framework (ATHF)

정의 – 보안 팀의 위협 헌팅 워크플로우에 메모리, 구조, AI 준비 컨텍스트를 추가하는 Python 기반의 마크다운 중심 프레임워크입니다. 탐지 자체를 수행하지 않으며, 대신 각 헌트를 가벼운 LOCK 패턴(Learn → Observe → Check → Keep)으로 기록하고, 검색 가능한 저장소에 저장하며, CLI 명령과 선택적 MCP 서버를 노출하여 AI 어시스턴트(Claude, Copilot, Cursor 등)가 해당 지식을 읽고 활용할 수 있게 합니다.

주요 구성 요소

• LOCK 패턴 – 각 헌트가 마크다운 파일로 작성되는 4단계 템플릿입니다. 이를 통해 인간과 LLM 모두 헌트를 쉽게 파싱할 수 있습니다.
• GATES 메서드 – 완료된 헌트를 점수화하고 결과 탐지를 승격, 보류, 시간 제한 등으로 결정하는 검증 스킬입니다. 이 스킬은 채팅 스타일 명령(/gates --hunt H-0001)으로 호출됩니다.
• CLI(athf) – 작업 공간 초기화, 연구 노트 생성, 새 헌트 시작, 헌트 목록/검색, 검증 실행, MITRE ATT&CK 메타데이터 가져오기 명령입니다. 선택적 추가 기능은 ATT&CK 데이터([attack]) 또는 MCP 서버([mcp])용 추가 종속성을 설치합니다.
• MCP 서버 – LLM 기반 코딩 어시스턴트가 편집기를 떠나지 않고 ATHF 함수(검색, 가설 생성 등)를 호출할 수 있게 하는 로컬 마이크로서비스입니다.
• 성숙도 모델 – 팀이 ATHF 사용에서 얼마나 발전했는지 설명하는 5단계(0 = 임시, 4 = 완전 자율 에이전트)입니다.

대상 – 이미 헌팅 방법론(예: PEAK, TaHiTI)을 보유하고 있으며, 특히 LLM 기반 어시스턴트를 도입할 계획이 있는 보안 운영 또는 위협 헌팅 팀으로, 해당 작업을 가볍게 캡처, 검색, 재사용하려는 경우입니다.

사용 방법

1. pip install agentic-threat-hunting-framework 실행 후 athf init으로 작업 공간을 생성합니다.
2. athf research new …를 실행하여 마크다운 연구 노트를 생성합니다(선택적으로 LLM 사용).
3. athf hunt new …로 헌트를 생성하고 LOCK 섹션을 작성합니다.
4. 헌트가 완료되면 GATES 스킬(/gates --hunt H-XXXX)을 호출하여 승격 판정을 받습니다.
5. 선택적으로 GATES 출력을 동반 탐지 엔지니어링 프레임워크(ADEF)에 공급하여 프로덕션 규칙을 구축합니다.

중요성 – 모든 헌트를 일관되고 기계가 읽을 수 있는 형식으로 영구화함으로써 ATHF는 지식 손실을 방지하고 의미론적 검색을 가능하게 하며, LLM 어시스턴트가 매번 처음부터 시작하는 대신 팀의 자체 기록을 기반으로 쿼리나 가설을 제안할 수 있게 합니다.

제한 사항 – ATHF에는 자체 탐지 엔진, 데이터 수집, SIEM 통합이 포함되지 않습니다. 조직의 기존 도구와 생성 기능을 위한 외부 LLM 어시스턴트에 의존합니다.

---

빠른 시작 스니펫

pip install agentic-threat-hunting-framework
athf init               # 작업 공간 설정
athf research new --topic "LSASS dumping" --technique T1003.001
athf hunt new --technique T1003.001 --title "LSASS Credential Dumping" --research R-0001
/gates --hunt H-0001    # AI 스킬이 헌트를 점수화하도록 요청

---

추가 자료 – 저장소에는 LOCK 패턴, GATES 메서드, MCP 통합, 성숙도 모델 가이드에 대한 자세한 문서와 예제 헌트 쇼케이스가 포함되어 있습니다.