Nebulock-Inc/agentic-threat-hunting-framework

Agentic Threat Hunting Framework (ATHF)

它是什么 – 一个基于 Python、以 Markdown 为驱动的框架，为安全团队的威胁狩猎工作流添加记忆、结构和 AI 就绪的上下文。它不执行检测本身；而是使用轻量级 LOCK 模式（Learn → Observe → Check → Keep）记录每次狩猎，将记录存储在可搜索的仓库中，并公开一组 CLI 命令和可选的 MCP 服务器，以便 AI 助手（Claude、Copilot、Cursor 等）可以读取并基于这些知识采取行动。

关键组件

• LOCK 模式 – 一个四步模板，每次狩猎都作为 Markdown 文件写入其中。这使得狩猎对人类和 LLM 都易于解析。
• GATES 方法 – 一种验证技能，对完成的狩猎进行评分，并决定结果检测是否应提升、保留、设置时间限制等。该技能通过聊天式命令（/gates --hunt H-0001）调用。
• CLI（athf） – 用于初始化工作区、创建研究笔记、开始新狩猎、列出/搜索狩猎、运行验证以及拉取 MITRE ATT&CK 元数据的命令。可选附加项为 ATT&CK 数据（[attack]）或 MCP 服务器（[mcp]）安装额外依赖。
• MCP 服务器 – 一个本地微服务，允许 LLM 驱动的编码助手在不离开编辑器的情况下调用 ATHF 函数（搜索、假设生成等）。
• 成熟度模型 – 五个级别（0 = 临时，4 = 完全自主代理），描述团队在使用 ATHF 方面取得的进展。

适用对象 – 已经拥有狩猎方法论（例如 PEAK、TaHiTI）并希望以轻量方式捕获、搜索和重用这些工作的安全运营或威胁狩猎团队，尤其是当他们计划引入基于 LLM 的助手时。

如何使用

1. pip install agentic-threat-hunting-framework 并运行 athf init 创建工作区。
2. 运行 athf research new … 生成 Markdown 研究笔记（可选由 LLM 驱动）。
3. 使用 athf hunt new … 创建狩猎，填写 LOCK 部分。
4. 狩猎完成后，调用 GATES 技能（/gates --hunt H-XXXX）获得提升裁决。
5. 可选：将 GATES 输出馈送到配套的检测工程框架（ADEF）以构建生产规则。

为什么重要 – 通过以一致、机器可读的格式持久化每次狩猎，ATHF 防止知识丢失，支持语义搜索，并让 LLM 助手基于团队自身历史建议查询或假设，而不是每次都从头开始。

限制 – ATHF 不包含自己的检测引擎、数据收集或 SIEM 集成；它依赖组织现有工具和外部 LLM 助手提供任何生成能力。

---

快速开始片段

pip install agentic-threat-hunting-framework
athf init               # 设置工作区
athf research new --topic "LSASS dumping" --technique T1003.001
athf hunt new --technique T1003.001 --title "LSASS Credential Dumping" --research R-0001
/gates --hunt H-0001    # 让 AI 技能对狩猎进行评分

---

进一步阅读 – 仓库包含关于 LOCK 模式、GATES 方法、MCP 集成和成熟度模型指南的详细文档，以及示例狩猎展示。