nebulock-inc/agentic-threat-hunting-frameworkATHF — это фреймворк для агентного поиска угроз, предназначенный для создания систем, способных запоминать, обучаться и действовать с возрастающей автономией.
Быстрый старт • Установка • Документация • Примеры
Дайте вашей программе охоты за угрозами память и агентность.
Фреймворк агентного охоты за угрозами (ATHF) — это слой памяти и автоматизации для вашей программы охоты за угрозами. Он придаёт вашим охотам структуру, персистентность и контекст, делая каждое прошлое расследование доступным как для людей, так и для ИИ.
ATHF работает с любой методологией охоты (PEAK, TaHiTI или вашим собственным процессом). Это не замена; это слой, который делает ваш существующий процесс готовым к ИИ.
ATHF обеспечивает структуру и персистентность для программ охоты за угрозами. Это фреймворк на основе markdown, который:
Большинство программ охоты за угрозами теряют ценный контекст после завершения охоты. Заметки остаются в Slack или тикетах, запросы пишутся один раз и забываются, а извлечённые уроки существуют только в головах аналитиков.
Даже ИИ-инструменты каждый раз начинают с нуля без доступа к вашей среде, вашим данным или вашим прошлым охотам.
ATHF меняет это, придавая вашим охотам структуру, персистентность и контекст.
Подробнее: docs/why-athf.md
Каждая охота за угрозами следует одному и тому же базовому циклу: Learn → Observe → Check → Keep.
Почему LOCK? Он достаточно мал для использования и достаточно строг для интерпретации агентами. Фиксируя каждую охоту в этом формате, ATHF делает возможным для ИИ-ассистентов вспоминать предыдущую работу и предлагать уточнённые запросы на основе прошлых результатов.
Подробнее: docs/lock-pattern.md
После завершения фазы KEEP охоты метод GATES проверяет, следует ли продвигать ваши находки в производственные детекты, повторяющиеся охоты или рекомендации.
Generalizable (Обобщаемый), Additive (Дополняющий), Tunable (Настраиваемый), Exposure-tested (Проверенный на воздействие), Sustainable (Устойчивый)
Примечание: GATES разработан для работы с фреймворком ATHF и был тщательно протестирован в этом контексте. Хотя методология (5 критериев BASE, типы вердиктов) концептуально переносима, мы рекомендуем использовать её как часть полного рабочего процесса ATHF для лучших результатов. См.
.claude/skills/gates/для полной интеграции.
Установка: GATES в настоящее время доступен только через
git clone. Пользователям, установившим черезpip install, следует клонировать репозиторий для доступа к GATES. Мы работаем над включением GATES в pip-дистрибутив (отслеживается как Issue #21).
GATES оценивает детекты, полученные из охоты, используя двухуровневый фреймворк: 5 критериев BASE (оцениваются по данным охоты) определяют кандидатов на развёртывание, в то время как 5 критериев ADVANCED (валидируются в производстве) обеспечивают устойчивые детекты с низкими показателями ложноположительных и ложноотрицательных срабатываний:
| Гейт | Вопрос | Что выявляет |
|---|---|---|
| G - Generalizable | Это повторяемо? | Правила на основе IOC, которые быстро устаревают |
| A - Additive | Заполняет ли это пробел в покрытии? | Дублирующие или избыточные детекты |
| T - Tunable | Можем ли мы отличить атаку от нормы? | Несоответствие базового шума (главная причина FP) |
| E - Exposure-tested | Покрыли ли мы обходы? | Одномерные детекты |
| S - Sustainable | Можем ли мы это поддерживать? | Правила с высоким объёмом и низким TP |
Вердикты основаны на оценках BASE (/5). См. .claude/skills/gates/ для методов валидации ADVANCED.
Быстрый старт — введите это вашему ассистенту; /gates — это навык, а не shell-команда:
/gates --hunt H-0001
Типы вердиктов:
Провал gate переопределяет диапазон оценки, и когда два gate терпят неудачу, побеждает первое совпадение в
этом порядке: A→DROP, G→TIME_BOX, E→HOLD, S→RECURRING_HUNT, T→CONDITIONAL. Диапазоны
выше применяются только тогда, когда ни один gate не завершился неудачей. Полное правило:
.claude/skills/gates/SKILL.md Шаг 4.
Примечание: Вердикт GATES "PROMOTE" означает развертывание правила обнаружения. Это отличается от athf hunt promote, который перемещает файлы hunt между каталогами.
Интеграция с ADEF (Detection Engineering Framework):
После валидации GATES переходите к ADEF для производственной инженерии обнаружения:
ATHF Workspace ADEF Workspace
────────────── ──────────────
Hunt (LOCK)
↓
GATES Validate
↓
H-XXXX_GATES.yaml ────────────→ FORGE (F-O-R-G-E)
↓
Production Rule
Полный рабочий процесс:
В рабочей области ATHF проверьте hunt — ввод для ассистента, а не команда оболочки:
/gates --hunt H-0903
→ записывает hunt-promotion-analysis/H-0903_GATES.yaml (один файл на hunt, N
кандидатов внутри). Hunt, вердикт которого — архивный (HOLD, DROP, TIME_BOX,
RECURRING_HUNT), вместо этого создаёт .md-нарратив — правила для построения нет, поэтому
шаг 2 применяется только к выводу .yaml.
Импортируйте этот документ в ADEF:
adef hunt-promote --gates ~/athf-workspace/hunt-promotion-analysis/H-0903_GATES.yaml
# --dry-run first to preview what it would mint