Coff0xc detection response
Skill Coff0xc/coffee-skill/skills/coff0xc-detection-response
Installable Codex/AgentSkills workflow pack for dev, Agent/RAG, API/data, Office artifacts, research diagrams, and authorized security review.
npx -y skills add Coff0xc/coffee-skill --skill coff0xc-detection-responseAssembled from the repository path, not quoted from the project. Check it against their README if it does not work.
2 things to look at
- no licenseNo license file was found in the repository. Code published without one is not open source by default, so using it at work is a question for whoever answers licensing questions where you are.
- 15 stars15 stars. Stars are a popularity signal and not a quality one, but at this level it is likely that nobody has read this closely except its author, and you would be relying on your own review.
What its author says it does
Copied from the file, not written here
Use when / 当用户请求 SOC、安全运营、detection engineering、threat hunting/intel、incident response/IR、forensics、malware、phishing：SIEM、Sigma、YARA、IOC、logs、alerts、EDR、timeline、alert tuning、误报和检测逻辑。手动触发：使用 coff0xc-detection-response。
SKILL.md
3.1 KB, as published. Nobody here has run it
coff0xc-detection-response
<!-- skill-id: cs-drs-6c1f90e4 -->快速规则（日常任务先读这里）
[时间线先行] 先定日志源、字段、时间范围、实体、告警上下文和已知 IOC。 [检测门禁] Sigma/YARA/查询必须说明字段映射、样本、误报来源、ATT&CK 映射和测试方式。 [响应边界] 默认给 triage、保全、遏制建议；真实隔离、封禁、删除、封号或生产处置先确认。 [交付标准] 输出时间线、证据等级、规则、调优建议、缺失日志和复盘项。
普通检测/响应任务按本节先推进；只有事件指挥、真实 containment 或跨团队演练时再展开完整工作流。
能力定位
面向 SOC、检测工程、威胁狩猎、取证和应急响应的防御运营能力。它把日志、样本线索和告警问题转成可验证检测、时间线和响应建议。
能交付什么
- Sigma/YARA/查询规则草案和字段映射
- IOC、时间线、攻击阶段和 ATT&CK 映射
- 误报分析、测试样例和调优建议
- 应急处置、取证保全和复盘改进清单
可以接收什么输入
- EDR/SIEM/云日志、告警、IOC、样本摘要
- 取证笔记、邮件头、网络流量摘要、事件时间线
- 已有 Sigma/YARA/查询规则和误报反馈
放心使用的边界
- 只做防御检测、应急、取证和报告
- 不提供未授权攻击、持久化、规避检测或恶意样本投递步骤
- 处理真实日志时避免泄露个人信息和敏感资产细节
- 安全类能力默认只用于授权、防御、检测、加固、验证和报告；不提供未授权攻击、凭据窃取、持久化、规避检测、C2、钓鱼收集、数据外传或破坏性步骤。
为什么可以放心
- 检测规则必须说明数据源、字段、测试样例和误报风险
- IR 输出区分已观测事实和推断
- 优先给可执行的处置和验证步骤
典型使用方式
使用 coff0xc-detection-response 根据这些 EDR 日志写 Sigma 和 YARA 检测规则。
使用 coff0xc-detection-response 做一次威胁狩猎假设、日志查询和告警调优。
Use coff0xc-detection-response to build an incident timeline from these forensics notes.
默认输出
- 收口只写完成、验证、还剩、下一步；有文件/代码/规则产物给路径或位置。
- 未真实运行的检查标为未验证，安全/架构结论标证据等级。
按需展开
- 日常任务只执行上面的快速规则、能力边界和典型用法，不默认读取完整门禁。
- 深度架构、复杂多阶段、质量评测、发版、正式交付或当前任务证据不足时，再读取
references/full-workflow.md。 - 读取 reference 后仍保持最小必要上下文；不要因为 reference 存在就输出长篇流程或额外自证材料。