From 87eacbec34a7d93ed1349781640d180148e53e19 Mon Sep 17 00:00:00 2001
From: WenhuaXia <wenhua_xia@163.com>
Date: Sat, 10 Oct 2026 19:50:36 +0800
Subject: [PATCH] =?UTF-8?q?fix(skill):=20=E7=A7=BB=E9=99=A4=E9=81=97?=
 =?UTF-8?q?=E7=95=99=20ndr-alert-analysis=20380=E8=A1=8C=E8=A3=B8=E6=96=87?=
 =?UTF-8?q?=E4=BB=B6,=E4=B8=8E=E5=AE=98=E6=96=B9=20hub=20=E5=8C=85(29?=
 =?UTF-8?q?=E8=A1=8C+manifest=20v1.0.0)=E5=90=8C=E5=90=8D=E5=86=B2?=
 =?UTF-8?q?=E7=AA=81?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

问题 / Problem:
Hub 页点击 NDR Alert Analysis「更新」永远 422:
  Skill 'ndr-alert-analysis' is read-only; installation cannot replace or shadow it

根因 / Root cause:
PR #775 (v2026.9.23) 把同一个 skill 打包进了两个位置:
1. .flocks/plugins/skills/ndr-alert-analysis/SKILL.md     (380行 详细版)
2. .flocks/flockshub/plugins/skills/ndr-alert-analysis/   (29行 官方 hub 包 + manifest v1.0.0 + references/scripts/templates)
discovery 只扫 (1) 所在的项目级路径,(2) 是 hub 安装源不在 discovery 里。
(1) 因 is_system_shipped 命中 → readonly → preserve_install_group 永久拦截。
hub 更新想装 (2) 到 ~/.flocks/plugins/skills/ 时,守卫在 write 前重新
_discover 找到 (1),判定为 readonly,拒绝影子化。

修复 / Fix:
删除 (1) 380行裸文件。
- (2) 是官方正式 hub 包(有 manifest / references / scripts / templates),
  保留作为唯一来源,Hub 安装/更新恢复正常。
- 380行详细流程内容已固化备份到 ~/workspace/ndr-backup/,
  需要时可作为 PR 反馈给上游合并进 (2) 的 SKILL.md。

验证 / Verified:
1. rm (1) 后 install_plugin('skill','ndr-alert-analysis',scope='global')
   → INSTALL OK, v1.0.0, installPath=~/.flocks/plugins/skills/ndr-alert-analysis
2. Skill._discover():
   location=~/.flocks/plugins/skills/ndr-alert-analysis/SKILL.md
   source=user  native=False  readonly=False  (可更新可编辑)
   content: 29行官方版, has references/scripts/templates
3. installed.json: skill:ndr-alert-analysis v1.0.0 source=bundled
---
 .../skills/ndr-alert-analysis/SKILL.md        | 381 ------------------
 1 file changed, 381 deletions(-)
 delete mode 100644 .flocks/plugins/skills/ndr-alert-analysis/SKILL.md

diff --git a/.flocks/plugins/skills/ndr-alert-analysis/SKILL.md b/.flocks/plugins/skills/ndr-alert-analysis/SKILL.md
deleted file mode 100644
index 0fbc531b0..000000000
--- a/.flocks/plugins/skills/ndr-alert-analysis/SKILL.md
+++ /dev/null
@@ -1,381 +0,0 @@
----
-name: ndr-alert-analysis
-group: 安全研判
-description: 用于 NDR（网络检测与响应）告警的自动化研判分析，按照标准流程进行情报查询、资产关联、漏洞分析、payload 解析和综合研判。
----
-
-## 描述
-
-用于 NDR（网络检测与响应）告警的自动化研判分析，按照标准流程进行情报查询、资产关联、漏洞分析、payload 解析和综合研判。
-
-## 能力
-
-1. **情报查询** - 查询 IP、域名、URL、文件哈希的威胁情报
-2. **资产关联** - 关联告警涉及的资产信息（源/目标 IP、端口、服务）
-3. **漏洞分析** - 查询相关 CVE/漏洞信息
-4. **Payload 分析** - 分析攻击载荷特征
-5. **响应分析** - 分析告警的返回包/响应内容
-6. **ATT&CK 映射** - 将攻击行为映射到 MITRE ATT&CK 框架
-7. **误报判断** - 基于规则识别常见误报场景
-8. **告警聚合** - 关联分析多个相关告警
-9. **时间线构建** - 攻击链时间序列分析
-10. **自动处置** - 生成具体的处置建议和操作步骤
-11. **综合研判** - 生成结构化研判报告
-
-## 使用方法
-
-当用户要求分析 NDR 告警时，首先识别告警类型，然后按照对应流程执行分析。
-
-### 步骤 1：识别告警类型
-
-根据告警名称/类别，识别告警类型：
-
-| 告警类型 | 特征关键词 | 分析重点 |
-|----------|------------|----------|
-| Web 攻击 | SQL注入、XSS、命令执行、路径遍历、文件上传 | Payload 特征、Web指纹 |
-| 暴力破解 | 暴力破解、弱口令、SSH登录失败 | 源IP威胁情报、登录行为分析 |
-| 恶意软件 | 木马、后门、远控、恶意下载 | 文件哈希、流量特征、C2通信 |
-| 横向移动 | 端口扫描、敏感服务访问、PTH | 资产关联、时间序列分析 |
-| 数据泄露 | 敏感数据外传、异常流量、大文件 | 数据特征、传输目的IP |
-| 钓鱼/社工 | 钓鱼邮件、恶意链接、仿冒网站 | URL/域名情报、钓鱼特征 |
-| 漏洞利用 | CVE、漏洞利用、EXP、POC | 漏洞详情、影响范围 |
-| 异常行为 | 行为异常、流量异常、基线偏离 | 基线对比、用户/实体画像 |
-
-### 步骤 2：针对不同告警类型的分析流程
-
-#### 2.1 Web 攻击类
-
-```
-分析流程：
-1. 提取完整 HTTP 请求（方法、URL、Headers、Body）
-2. 解码 URL 编码/Base64 等混淆内容
-3. 匹配恶意特征规则（SQL注入、XSS、命令执行等）
-4. 查询目标资产指纹（Web服务器、中间件、框架）
-5. 关联漏洞库，查找可利用漏洞
-6. 分析响应包，判断攻击是否成功
-7. 映射到 ATT&CK 战术（T1190 - 利用外部应用漏洞）
-```
-
-**常见特征检测**：
-
-- SQL 注入：`UNION`, `SELECT`, `1=1`, `' or '1'='1`, `information_schema`
-- 命令执行：`;`, `|`, `&&`, `$(`, `` ` ``, `wget`, `curl`, `bash`
-- XSS：`<script>`, `javascript:`, `onerror=`, `onload=`
-- 路径遍历：`../`, `..\`, `%2e%2e`, `/etc/passwd`, `boot.ini`
-- 文件上传：`.php`, `.jsp`, `.asp`, `.exe`, `Content-Type: application/octet-stream`
-- SSRF：`gopher://`, `dict://`, `http://internal`
-
-#### 2.2 暴力破解类
-
-```
-分析流程：
-1. 统计源IP在时间窗口内的登录尝试次数
-2. 查询源IP威胁情报，判断是否为恶意源
-3. 分析目标服务类型（SSH、RDP、FTP、Web登录等）
-4. 检查是否存在成功登录事件
-5. 分析登录时间是否符合业务规律
-6. 判断是否为内部扫描/运维行为
-7. 映射到 ATT&CK 战术（T1110 - 暴力破解）
-```
-
-**误报判断规则**：
-
-- 同一IP少量失败尝试（<5次）+ 无成功登录 = 低风险，可能是误报
-- 短时间内大量失败尝试（>50次）= 高风险，确认攻击
-- 源IP为内部IP段 = 可能是内部扫描或运维
-- 登录时间符合业务规律（如工作时间）= 可能是误报
-
-#### 2.3 恶意软件类
-
-```
-分析流程：
-1. 提取可疑文件哈希（MD5/SHA1/SHA256）
-2. 查询文件威胁情报（微步/VT）
-3. 分析网络流量特征（通信协议、端口、域名）
-4. 查找C2通信特征（可疑域名、IP、DGA）
-5. 分析持久化机制（注册表、计划任务、服务）
-6. 映射到 ATT&CK 战术（T1059 - 命令和脚本解释器）
-```
-
-**C2 通信特征**：
-
-- 非标准端口（4444、8080、31337）
-- 异常协议流量（HTTP非80/443、HTTPS非443）
-- 周期性心跳请求
-- 可疑域名（随机字符串、Typo域名）
-- 长连接、Beacon特征
-
-#### 2.4 横向移动类
-
-```
-分析流程：
-1. 识别源IP和目标IP的资产归属
-2. 分析访问路径（同一网段、跨网段）
-3. 识别扫描/探测行为特征
-4. 检查敏感服务访问（SMB、RPC、WinRM、SSH）
-5. 分析时间序列，判断攻击链位置
-6. 关联同源告警，构建攻击路径
-7. 映射到 ATT&CK 战术（T1021 - 远程服务）
-```
-
-#### 2.5 漏洞利用类
-
-```
-分析流程：
-1. 从告警中提取 CVE 编号或漏洞特征
-2. 查询漏洞详情（影响版本、危害等级）
-3. 查询目标资产指纹（版本、组件）
-4. 判断目标是否在影响范围内
-5. 查询是否有公开 PoC、是否在野利用
-6. 分析漏洞利用是否成功
-7. 映射到 ATT&CK 战术（T1190 - 利用外部应用漏洞）
-```
-
-### 步骤 3：信息提取
-
-从用户提供的告警信息中提取关键字段：
-
-- 告警名称/类型
-- 告警时间
-- 源 IP、源端口
-- 目标 IP、目标端口
-- 协议
-- Payload/攻击内容
-- 返回包（如果有）
-- 告警级别
-
-### 步骤 4：情报查询
-
-使用以下工具查询威胁情报：
-
-**IP 情报查询**（任选其一）：
-
-- `threatbook_ip_query` - 微步威胁情报
-- `virustotal_ip_query` - VirusTotal
-- `__mcp_ip_query` - 微步 IP 情报详情
-- `__mcp_ip_attribution` - IP 溯源
-
-**域名/URL 情报查询**：
-
-- `threatbook_domain_query` - 微步域名情报
-- `threatbook_url_reputation` - 微步 URL 情报
-- `virustotal_domain_query` - VirusTotal 域名
-- `virustotal_url_query` - VirusTotal URL
-- `__mcp_domain_query` - 微步域名详情
-
-**文件哈希情报查询**：
-
-- `threatbook_file_report` - 微步文件情报
-- `virustotal_file_query` - VirusTotal 文件
-- `__mcp_hash_query` - 微步样本分析
-
-### 步骤 5：资产查询
-
-使用 `__mcp_internet_assets_query` 查询资产信息：
-
-- 目标 IP 的开放端口、服务、指纹
-- 域名解析历史
-- 证书信息
-- 所属组织、运营商
-
-查询语法示例：
-
-```
-ip="192.168.1.1"
-domain="example.com"
-port="443"&&ip="192.168.1.1"
-```
-
-### 步骤 6：漏洞分析
-
-使用 `__mcp_vuln_query` 或 `__mcp_vulnlist_query` 查询相关漏洞：
-
-- 根据目标服务/组件查询漏洞
-- 根据 CVE 编号精确查询
-- 查询是否有 PoC、是否在野利用
-
-### 步骤 7：Payload 分析
-
-对告警中的 Payload 进行分析：
-
-**如果是 HTTP 请求**：
-
-- 分析请求方法、路径、参数
-- 检查恶意特征：SQL 注入、XSS、命令执行、路径遍历
-- 提取可疑字符串、编码内容
-
-**如果是网络协议**：
-
-- 分析协议类型、命令
-- 检查异常协议特征
-- 识别恶意协议模式
-
-### 步骤 8：返回包分析
-
-分析告警的响应内容：
-
-- HTTP 状态码
-- 响应长度、特征
-- 是否存在敏感信息泄露
-- 是否存在恶意脚本、数据外传
-
-### 步骤 9：误报判断
-
-根据以下规则判断是否为误报：
-
-**常见误报场景**：
-
-| 场景 | 判断条件 | 结论 |
-|------|----------|------|
-| 内部扫描 | 源IP属于内网段 + 目标为内部资产 | 误报/低危 |
-| 正常业务 | 符合业务规律 + 响应正常 | 误报 |
-| 扫描探针 | 少量探测 + 无后续攻击 | 低危 |
-| 误报规则 | 触发规则但无实际危害 | 误报 |
-| 测试流量 | 已知测试IP/测试数据 | 误报 |
-
-**风险升级条件**：
-
-- 源IP有恶意情报标记
-- 攻击特征明确、危害较大
-- 目标存在可利用漏洞
-- 攻击成功（返回敏感数据/获得权限）
-
-### 步骤 10：告警聚合
-
-当存在多个相关告警时，聚合分析：
-
-1. **同源聚合**：相同源IP的多个告警
-2. **同目标聚合**：相同目标IP的多个告警
-3. **时间聚合**：时间相近的告警
-4. **攻击链聚合**：构建完整攻击路径
-
-聚合后输出攻击时间线：
-
-```
-时间线示例：
-T1 - 10:00:00  源IP发起端口扫描
-T2 - 10:05:00  发现Web漏洞
-T3 - 10:10:00  尝试SQL注入
-T4 - 10:15:00  获得数据库权限
-T5 - 10:20:00  尝试横向移动
-```
-
-### 步骤 11：ATT&CK 映射
-
-将攻击行为映射到 ATT&CK 框架：
-
-| 告警类型 | 映射战术 | 映射技术 |
-|----------|----------|----------|
-| Web攻击 | 初始访问 | T1190 - 利用外部应用漏洞 |
-| 暴力破解 | 凭证访问 | T1110 - 暴力破解 |
-| 恶意软件 | 持久化 | T1059 - 命令和脚本解释器 |
-| 横向移动 | 横向移动 | T1021 - 远程服务 |
-| 数据泄露 | 泄露 | T1041 - 主机外数据传输 |
-| 漏洞利用 | 初始访问 | T1190 - 利用外部应用漏洞 |
-
-使用 `__mcp_hrti_list_query` 查询相关威胁组织：
-
-```
-keyword="攻击类型"
-threat_type="相关事件类型"
-```
-
-### 步骤 12：综合研判
-
-基于以上分析，生成研判报告，包含以下字段：
-
-```markdown
-## 告警研判报告
-
-### 基础信息
-- **告警名称**：
-- **告警时间**：
-- **告警级别**：
-- **告警类型**：
-- **源 IP**：
-- **目标 IP**：
-- **源端口**：
-- **目标端口**：
-- **协议**：
-
-### 威胁情报
-- **源 IP 情报**：
-- **目标 IP 情报**：
-- **域名/URL 情报**：
-- **文件哈希情报**：
-
-### 资产信息
-- **目标资产**：
-- **开放端口**：
-- **服务指纹**：
-- **资产归属**：
-
-### 漏洞关联
-- **相关 CVE**：
-- **漏洞详情**：
-- **影响范围**：
-- **PoC/在野利用**：
-
-### Payload 分析
-- **攻击类型**：
-- **恶意特征**：
-- **编码/混淆**：
-- **风险评估**：
-
-### 响应分析
-- **返回状态**：
-- **响应内容**：
-- **风险行为**：
-
-### 误报判断
-- **误报原因**：(如有)
-- **判断依据**：
-
-### 告警聚合
-- **关联告警数**：
-- **攻击时间线**：
-
-### 研判结论
-- **判定结果**：(确认告警/误报/需要人工确认)
-- **威胁等级**：(严重/高/中/低/信息)
-- **攻击链阶段**：(侦察/武器化/投递/利用/安装/命令控制/行动)
-- **关联 ATT&CK**：
-- **归属组织**：(如能确定)
-
-### 处置建议
-
-| 优先级 | 动作 | 对象 | 说明 |
-|--------|------|------|------|
-| P0 | 隔离主机 | 目标IP | 立即隔离失陷主机 |
-| P1 | 封禁IP | 源IP | 阻断攻击源 |
-| P2 | 漏洞修复 | 目标服务 | 修复漏洞 |
-| P3 | 账号排查 | 相关账号 | 检查是否被攻陷 |
-| P4 | 通知相关人 | 业务负责人 | 预警通知 |
-
-具体操作步骤：
-1. [操作1]
-2. [操作2]
-3. [操作3]
-
-### IOC 提取
-- **恶意 IP**：
-- **恶意域名**：
-- **恶意 URL**：
-- **文件哈希**：
-- **攻击特征**：
-
-### 附件
-- 完整 Payload
-- 完整响应包
-- 关联告警列表
-```
-
-## 注意事项
-
-1. 情报查询可以并行执行，提高效率
-2. 需要考虑内网 IP 的情报查询结果可能为空
-3. 结合业务场景判断是否为正常流量
-4. 对于不确定的告警，标记为"需要人工确认"
-5. 提取的 IOC 需要格式化输出，便于后续处置
-6. 优先处理高危告警，按威胁等级排序
-7. 重要告警需要留存完整证据链
\ No newline at end of file