killvxk/cybersecurity-skills-zh - Page 13

extracting-iocs-from-malware-samples

从恶意软件样本中提取攻陷指标（IoC），包括文件哈希、网络指标（IP、域名、URL）、 主机痕迹（文件路径、注册表键、互斥锁）以及行为模式，用于威胁情报共享和检测规则创建。 适用于 IoC 提取、威胁指标采集、恶意软件指标收集或从样本构建检测内容等请求场景。

Langue du texte source : chinois

extracting-memory-artifacts-with-rekall

使用 Rekall 内存取证框架分析内存转储，检测进程空洞化（process hollowing）、通过 VAD 异常注入的代码、隐藏进程和 rootkit。应用 pslist、psscan、vadinfo、malfind 和 dlllist 等插件从 Windows 内存镜像中提取取证工件。适用于应急响应内存分析场景。

Langue du texte source : chinois

extracting-windows-event-logs-artifacts

使用 Chainsaw、Hayabusa 和 EvtxECmd 提取、解析和分析 Windows 事件日志（EVTX），以检测横向移动、持久化和权限提升。

Langue du texte source : chinois

generating-threat-intelligence-reports

生成战略、操作和战术级别的结构化网络威胁情报报告，针对特定受众（包括高管、安全运营团队和技术分析师）量身定制。适用于从原始收集数据生成完成情报产品、创建行业威胁简报，或提供事后情报评估时。适用于涉及 CTI 报告写作、威胁简报、情报产品、完成情报或高管安全报告的请求。

Langue du texte source : chinois

hunting-advanced-persistent-threats

在企业环境中使用基于假设的搜索，跨终端遥测、网络日志和内存产物，主动猎捕高级持续性威胁（APT）活动。适用于开展定期威胁猎捕周期、调查 UEBA 标记的异常行为，或验证已知 APT TTP 在环境中不存在时。适用于涉及 MITRE ATT&CK、Velociraptor、osquery、Zeek 或威胁猎捕剧本的请求。

Langue du texte source : chinois

hunting-credential-stuffing-attacks

通过分析认证日志中的登录速率异常、ASN 多样性、密码喷洒（password spray）模式和失败登录的地理分布，检测凭据填充（credential stuffing）攻击。对 Splunk 或原始日志数据进行统计分析。适用于调查账户接管活动或为认证滥用构建检测规则。

Langue du texte source : chinois

hunting-for-anomalous-powershell-execution

通过分析脚本块日志（事件 4104）、模块日志（事件 4103）和进程创建事件，狩猎恶意 PowerShell 活动。 分析员解析 Windows 事件日志 EVTX 文件，检测混淆命令、AMSI 绕过尝试、编码 payload、 凭据转储关键词和可疑下载器（download cradles）。适用于涉及 PowerShell 威胁狩猎、脚本块分析、 编码命令检测或 AMSI 绕过识别的场景。

Langue du texte source : chinois

hunting-for-cobalt-strike-beacons

使用默认 TLS 证书签名（序列号 8BB00EE）、JA3/JA3S/JARM 指纹、HTTP C2 配置文件模式匹配、信标抖动分析和命名管道检测，通过 Zeek、Suricata 和 Python PCAP 分析检测 Cobalt Strike 信标网络活动。

Langue du texte source : chinois

hunting-for-data-staging-before-exfiltration

通过监控 7-Zip/RAR 压缩文件创建、异常临时目录访问、大文件合并以及暂存目录模式，借助 EDR 和进程遥测检测数据外泄前的暂存活动。

Langue du texte source : chinois

hunting-for-dcsync-attacks

通过分析 Windows 事件 ID 4662，检测非域控制器账户发起的未授权 DS-Replication-Get-Changes 请求，从而发现 DCSync 攻击。

Langue du texte source : chinois

hunting-for-defense-evasion-via-timestomping

通过比较 MFT 中的 $STANDARD_INFORMATION 与 $FILE_NAME 时间戳， 检测 NTFS 时间戳篡改（MITRE T1070.006）。使用 analyzeMFT 和 Python 识别具有异常时序模式的文件， 表明存在反取证时间戳篡改活动。

Langue du texte source : chinois

hunting-for-dns-based-persistence

使用被动 DNS 数据库、SecurityTrails API 和 DNS 审计日志分析，狩猎 DNS 劫持、悬空 CNAME 记录、通配符 DNS 滥用和未授权区域修改等 DNS 持久化机制。

Langue du texte source : chinois

hunting-for-domain-fronting-c2-traffic

通过分析代理日志中的 SNI 与 HTTP Host 头不匹配以及使用 pyOpenSSL 进行证书检查，检测域前置（domain fronting）C2 流量和 TLS 证书差异。

Langue du texte source : chinois

hunting-for-lateral-movement-via-wmi

通过分析 Windows 事件 ID 4688 进程创建和 Sysmon 事件 ID 1 中的 WmiPrvSE.exe 子进程模式、远程进程执行以及 WMI 事件订阅持久化，检测基于 WMI 的横向移动。

Langue du texte source : chinois

hunting-for-ntlm-relay-attacks

通过分析 Windows 事件 4624 中的 NTLMSSP 认证、IP 与主机名不匹配、Responder 流量签名、SMB 签名状态及跨域可疑认证模式，检测 NTLM 中继攻击。

Langue du texte source : chinois

hunting-for-process-injection-techniques

通过 Sysmon 事件 ID 8 和 10 以及 EDR 进程遥测，检测进程注入技术（T1055），包括 CreateRemoteThread、进程空洞化和 DLL 注入。

Langue du texte source : chinois

hunting-for-registry-run-key-persistence

通过分析 Sysmon 事件 ID 13 日志和注册表查询，检测 MITRE ATT&CK T1547.001 注册表 Run 键持久化，识别恶意自动启动条目。

Langue du texte source : chinois

hunting-for-startup-folder-persistence

通过监控 Windows 启动目录中的可疑文件创建、分析 autoruns 条目以及使用 Python watchdog 进行实时文件系统监控，检测 T1547.001 启动文件夹持久化。

Langue du texte source : chinois

hunting-for-t1098-account-manipulation

通过 Windows 安全事件日志，狩猎 MITRE ATT&CK T1098 账户操纵行为，包括影子管理员创建、SID 历史注入、组成员变更和凭据修改。

Langue du texte source : chinois

hunting-for-unusual-service-installations

通过解析系统事件日志中的事件 ID 7045、分析服务二进制路径并识别持久化机制指标，检测可疑 Windows 服务安装（MITRE ATT&CK T1543.003）。

Langue du texte source : chinois

hunting-for-webshells-in-web-servers

通过扫描高熵值文件、可疑的 PHP/JSP/ASP 模式（eval、base64_decode、system、passthru）、 Web 根目录中近期修改的文件以及异常文件大小，检测植入 Web 服务器的 Webshell（网页后门）。 使用香农熵（Shannon entropy）计算标记混淆载荷，并通过正则表达式模式匹配已知 Webshell 特征。

Langue du texte source : chinois

hunting-living-off-the-land-binaries

检测 Windows 事件日志和 Sysmon 遥测数据中对离地攻击（Living Off The Land Binaries，LOLBAS）的滥用， 包括 certutil、wmic、mshta、regsvr32 和 rundll32 等工具。 通过将进程创建事件与 LOLBAS 项目数据库交叉比对来构建检测规则。 适用于针对无文件攻击技术的威胁狩猎或构建 SIEM 检测规则的场景。

Langue du texte source : chinois

implementing-alert-fatigue-reduction

通过调优检测规则、合并重复告警、实施基于风险的告警（Risk-Based Alerting）和衡量告警质量指标， 降低 SOC 告警疲劳，维持分析师效能并防止关键告警被忽视。 适用于 SOC 团队面临告警量过大、误报率过高或分析师绩效下降时。

Langue du texte source : chinois

implementing-api-abuse-detection-with-rate-limiting

使用令牌桶、滑动窗口和自适应速率限制算法实现API滥用检测，防止DDoS、暴力破解和凭据填充攻击。

Langue du texte source : chinois

implementing-api-gateway-security-controls

在API网关层实施安全控制，包括认证强制执行、速率限制、请求验证、IP白名单、TLS终止和威胁防护。 配置API网关（Kong、AWS API Gateway、Azure APIM、Apigee）作为集中式安全执行点， 在流量到达后端服务前对所有API流量进行验证、节流和监控。

Langue du texte source : chinois

implementing-api-key-security-controls

实施安全的API密钥生成、存储、轮换和吊销控制，防止API认证凭据泄露、暴力破解和滥用。 设计具有足够熵的API密钥格式，实施安全哈希存储，执行按密钥范围限制和速率限制， 监控公共仓库中的密钥泄露，并构建密钥轮换工作流。

Langue du texte source : chinois

implementing-api-rate-limiting-and-throttling

使用令牌桶、滑动窗口和固定窗口算法实施API速率限制和节流控制，防止暴力破解、凭据填充、 资源耗尽和API滥用。使用Redis支持的计数器、API网关插件或应用中间件配置按用户、按IP和按端点的速率限制， 并实施带Retry-After头的正确HTTP 429响应。

Langue du texte source : chinois

implementing-api-schema-validation-security

使用OpenAPI规范和JSON Schema实现API Schema验证，强制执行输入/输出契约，防止注入、数据泄露和批量赋值攻击。

Langue du texte source : chinois

implementing-api-security-posture-management

实施API安全态势管理，持续发现、分类并基于风险对API评分，同时在API生命周期中强制执行安全策略。

Langue du texte source : chinois

implementing-api-security-testing-with-42crunch

使用42Crunch平台实施全面的API安全测试，对OpenAPI规范执行静态审计（Static Audit）和动态合规扫描（Conformance Scanning）。

Langue du texte source : chinois

implementing-api-threat-protection-with-apigee

使用Google Apigee策略实施API威胁防护，包括JSON/XML威胁防护、OAuth 2.0、SpikeArrest和高级API安全（Advanced API Security），防御OWASP Top 10攻击。

Langue du texte source : chinois

implementing-aws-config-rules-for-compliance

实施 AWS Config 规则，对 AWS 资源进行持续合规监控，部署符合 CIS 和 PCI DSS 框架的托管和自定义规则，使用 SSM Automation 配置自动修复，并在多账户之间聚合合规数据。

Langue du texte source : chinois

implementing-aws-security-hub-compliance

实施 AWS Security Hub 跨 AWS 账户聚合安全发现结果，启用 CIS AWS Foundations 和 PCI DSS 等合规标准，通过 EventBridge 和 Lambda 配置自动修复，并为组织风险管理创建自定义安全洞察。

Langue du texte source : chinois

implementing-aws-security-hub

部署 AWS Security Hub 作为集中式云安全态势管理平台，聚合来自 GuardDuty、Inspector、Macie 和第三方工具的发现结果，启用 CIS AWS Foundations Benchmark 等安全标准，配置自动修复，并构建跨多账户 AWS 组织的合规跟踪执行仪表盘。

Langue du texte source : chinois

implementing-azure-defender-for-cloud

实施 Microsoft Defender for Cloud，为虚拟机、容器、数据库和存储启用云安全态势管理和工作负载保护，配置安全建议，并通过自动修复设置自适应安全控制。

Langue du texte source : chinois

implementing-bgp-security-with-rpki

使用路由来源授权（ROA）、RPKI-to-Router 协议和 Cisco、Juniper 路由器上的 ROV 策略，实施 BGP 路由来源验证（RPKI），以防止路由劫持。

Langue du texte source : chinois

implementing-cloud-dlp-for-data-protection

使用 Amazon Macie、Azure Information Protection 和 Google Cloud DLP API 实施云数据丢失预防（DLP），对云存储、数据库和数据管道中的敏感数据进行发现、分类和保护。

Langue du texte source : chinois

implementing-cloud-security-posture-management

实施云安全态势管理（CSPM），使用 Prowler、ScoutSuite、AWS Security Hub、Azure Defender 和 GCP Security Command Center 对多云环境中的错误配置、合规违规和安全风险进行持续监控。

Langue du texte source : chinois

implementing-cloud-trail-log-analysis

实施 AWS CloudTrail 日志分析，利用 Athena、CloudWatch Logs Insights 和 SIEM 集成进行安全监控、威胁检测和取证调查，识别未授权访问、权限提升和可疑 API 活动。

Langue du texte source : chinois

implementing-cloud-waf-rules

部署和调优 AWS WAF、Azure WAF 和 Cloudflare 上的 Web 应用防火墙规则，保护云托管应用免受 OWASP Top 10 攻击。详细介绍配置托管规则集、创建业务逻辑保护自定义规则、实施速率限制、部署机器人管理，以及通过规则调优和日志分析减少误报。

Langue du texte source : chinois