killvxk/cybersecurity-skills-zh - 第 10 页

building-cloud-security-posture-management

本 skill 指导安全架构师设计和实施云安全态势管理（CSPM）计划，持续监控 AWS、Azure 和 GCP 的基础设施配置。涵盖选择 Wiz、Prisma Cloud 或原生服务等 CSPM 工具、定义策略基线、 自动化漂移检测，以及将态势发现集成到 SOC 工作流。

building-cloud-siem-with-sentinel

本 skill 涵盖将 Microsoft Sentinel 部署为云原生 SIEM 和 SOAR 平台以实现集中安全运营。 详细介绍为多云日志摄入配置数据连接器、编写 KQL 检测查询、使用 Logic Apps 构建自动化响应手册， 以及利用 Sentinel 数据湖对 AWS、Azure 和 GCP 安全遥测进行 PB 级威胁狩猎。

building-detection-rules-with-sigma

使用 Sigma 规则格式构建与供应商无关的检测规则，用于跨 SIEM 平台（包括 Splunk、Elastic 和 Microsoft Sentinel）的威胁检测。适用于从威胁情报创建可移植检测逻辑、将规则映射到 MITRE ATT&CK 技术，或使用 sigmac 或 pySigma 后端将社区 Sigma 规则转换为平台特定查询。

building-identity-governance-lifecycle-process

构建全面的身份治理（Identity Governance）与生命周期管理流程，包括入职-调岗-离职（Joiner-Mover-Leaver）自动化、角色挖掘、访问申请工作流、定期重新认证以及孤立账户修复，使用 IGA 平台实现。 适用于身份生命周期管理、JML 流程、基于角色的访问配置或身份治理程序设计等相关请求。

building-incident-response-dashboard

在 Splunk、Elastic 或 Grafana 中构建实时事件响应（Incident Response）仪表盘，为安全运营中心（SOC）分析师和领导层提供主动事件处理过程中的态势感知（Situational Awareness），追踪受影响系统、遏制状态、失陷指标（IOC）扩散和响应时间线。适用于 IR 团队在事件协调和事后报告期间需要统一可见性的场景。

building-incident-response-playbook

设计并记录结构化的事件响应手册（Incident Response Playbook），定义与 NIST SP 800-61r3 和 SANS PICERL 框架对齐的特定事件类型逐步处理程序。涵盖手册结构、决策树、升级标准、RACI 矩阵和与 SOAR 平台的集成。适用于 IR 手册创建、事件响应程序文档、响应运行手册（Runbook）开发或 SOAR 手册设计等请求。

building-ioc-defanging-and-sharing-pipeline

构建自动化流水线，对失陷指标（URL、IP、域名、邮件）进行去危化处理以便安全共享，并通过 TAXII 推送和威胁情报平台以 STIX 格式分发。

building-soc-metrics-and-kpi-tracking

构建 SOC 绩效指标和 KPI 跟踪仪表盘，使用 SIEM 数据衡量平均检测时间（MTTD）、 平均响应时间（MTTR）、告警质量比率、分析师生产力和检测覆盖率。适用于 SOC 领导层 需要运营可视化、持续改进跟踪或高管级安全运营效能报告的场景。

building-soc-playbook-for-ransomware

构建结构化的 SOC 勒索软件攻击事件响应手册，涵盖检测、遏制、根除和恢复阶段， 包含特定的 SIEM 查询、隔离流程和决策树。适用于 SOC 团队需要符合 NIST SP 800-61 和 MITRE ATT&CK 勒索软件技术的规范化响应流程时。

building-threat-actor-profile-from-osint

使用开源情报（OSINT）技术构建全面的威胁行为者档案，记录对手的动机、能力、基础设施和 TTP，用于主动防御。

building-threat-feed-aggregation-with-misp

部署 MISP（恶意软件信息共享平台）来聚合、关联和分发来自多个来源的威胁情报推送，用于集中式 IOC 管理和自动化 SIEM 集成。

building-threat-intelligence-feed-integration

构建自动化威胁情报（Threat Intelligence）源集成管道，将 STIX/TAXII 源、 开源威胁情报和商业 TI 平台接入 SIEM 和安全工具，实现实时 IOC 匹配和告警。 适用于 SOC 团队需要通过自动化源接入、标准化、评分和分发到检测系统来 将威胁情报付诸实践的场景。

building-vulnerability-scanning-workflow

使用 Nessus、Qualys 和 OpenVAS 等工具构建结构化的漏洞扫描工作流， 对基础设施中的安全漏洞进行发现、优先级排序和修复跟踪。适用于 SOC 团队 需要建立定期漏洞评估流程、将扫描结果与 SIEM 告警集成，以及构建 修复跟踪仪表盘的场景。

bypassing-authentication-with-forced-browsing

在授权安全评估中，通过枚举 URL 并绕过身份验证控制，发现和访问未受保护的页面、API 及管理界面。

collecting-indicators-of-compromise

在安全事件期间和之后，系统性地收集、分类和分发失陷指标（Indicators of Compromise，IOC），以支持检测、阻断和威胁情报共享。涵盖网络、主机、邮件和行为指标，使用 STIX/TAXII 格式和威胁情报平台。适用于 IOC 收集、指标提取、威胁指标共享、失陷指标、STIX 导出或 IOC 情报丰富化相关请求。

collecting-open-source-intelligence

使用公开可用的数据源、被动侦察工具和暗网监控，收集并综合关于威胁行为者、恶意基础设施和攻击活动的开源情报（OSINT）。适用于调查外部威胁行为者基础设施、为授权红队评估执行预参与侦察，或使用公开对手上下文丰富 CTI 报告。适用于涉及 Maltego、Shodan、OSINT framework、SpiderFoot 或基础设施侦察的请求。

collecting-threat-intelligence-with-misp

MISP（恶意软件信息共享平台）是一个开源威胁情报平台，用于收集、共享、存储和关联定向攻击的失陷指标（IOC）、威胁情报、金融欺诈信息、漏洞信息或反恐信息。

conducting-api-security-testing

对 REST、GraphQL 和 gRPC API 进行安全测试，识别认证、授权、速率限制、输入验证和业务逻辑中的漏洞。测试人员以 OWASP API 安全 Top 10 作为测试框架，结合 Burp Suite 拦截、Postman 集合和自定义脚本，在每个权限级别测试端点安全性。

conducting-cloud-incident-response

响应云环境（AWS、Azure、GCP）中的安全事件，执行基于身份的遏制、云原生日志分析、资源隔离和针对临时云基础设施的取证证据采集。适用于云事件响应、AWS 安全事件、Azure 受攻陷、GCP 泄露、云取证或云身份受攻陷相关请求。

conducting-cloud-penetration-testing

本 skill 概述了对 AWS、Azure 和 GCP 云环境进行授权渗透测试的方法论。 涵盖理解测试范围的共享责任模型、利用 Pacu 和 ScoutSuite 等云专用攻击工具、 利用 IAM 错误配置、测试针对云元数据服务的 SSRF， 以及按照 MITRE ATT&CK 云矩阵对发现进行报告。

conducting-external-reconnaissance-with-osint

使用开源情报（OSINT）技术执行外部侦察，在不直接与目标系统交互的情况下映射组织的外部攻击面。测试人员从 DNS 记录、证书透明度日志、搜索引擎、社交媒体、代码仓库和数据泄露数据库等公开来源收集信息，以构建全面的目标画像。

conducting-malware-incident-response

响应企业端点的恶意软件感染，识别恶意软件家族、确定感染向量、评估传播范围，并执行根除程序。涵盖从检测到遏制、分析、清除和恢复的完整生命周期。适用于恶意软件响应、恶意软件根除、木马清除、蠕虫遏制、恶意软件分类或受感染端点修复相关请求。

conducting-man-in-the-middle-attack-simulation

在授权环境中使用 Ettercap、mitmproxy 和 Bettercap 模拟中间人攻击（man-in-the-middle attacks）， 拦截、分析和修改网络流量，以测试加密执行、证书验证和检测能力。

conducting-memory-forensics-with-volatility

使用 Volatility 3 执行内存取证分析，从事件响应期间采集的 RAM 转储中提取恶意软件执行、进程注入、网络连接和凭据窃取的证据。涵盖内存采集、进程分析、DLL 检查和恶意软件检测。适用于内存取证、RAM 分析、Volatility 框架、内存转储调查、易失性证据分析或实时内存采集相关请求。

conducting-mobile-app-penetration-test

遵循 OWASP 移动应用安全测试指南（MASTG）对 iOS 和 Android 移动应用执行渗透测试，识别数据存储、网络通信、认证、密码学和平台专属安全控制中的漏洞。测试人员对应用二进制文件进行静态分析、运行时动态分析和 API 安全测试，以评估完整的移动攻击面。

conducting-mobile-application-penetration-test

对 Android 和 iOS 应用执行移动应用渗透测试，使用 Frida、Objection 和 MobSF 识别不安全的数据存储、证书固定绕过、API 漏洞、二进制保护缺陷和运行时操控问题。

conducting-network-penetration-test

对授权目标环境执行全面网络渗透测试，通过主机发现、端口扫描、服务枚举、漏洞识别和受控漏洞利用，评估网络基础设施的安全态势。测试人员遵循 PTES 方法论，从侦察到后渗透和报告全流程执行。

conducting-phishing-incident-response

通过分析举报的邮件、提取指标、评估凭据受攻陷情况、在全组织范围隔离恶意邮件并修复受影响账号来响应网络钓鱼事件。涵盖邮件头分析、URL/附件沙箱检测和邮箱范围清除操作。适用于网络钓鱼响应、邮件事件、凭据钓鱼、鱼叉式网络钓鱼调查或钓鱼修复相关请求。

conducting-wireless-network-penetration-test

执行授权的无线网络渗透测试，通过测试弱加密协议、强制门户绕过、邪恶双胞胎攻击、WPA2/WPA3 握手捕获、流氓接入点检测和客户端攻击，评估 WiFi 基础设施的安全性。

configuring-active-directory-tiered-model

实施 Microsoft 增强安全管理环境（Enhanced Security Admin Environment，ESAE）Active Directory 分层管理模型，涵盖 Tier 0/1/2 分隔、特权访问工作站（PAW）、管理林设计、认证策略孤岛和凭据盗窃缓解措施。

configuring-ldap-security-hardening

加固 LDAP 目录服务以防御常见攻击，包括凭据收集、LDAP 注入、匿名绑定和通道绑定绕过。涵盖 LDAPS 强制执行、通道绑定、LDAP 签名、访问控制列表及 LDAP 攻击监控。

configuring-network-segmentation-with-vlans

在托管交换机上设计和实施基于 VLAN（Virtual LAN，虚拟局域网）的网络分段（network segmentation）， 以隔离网络区域、强制执行分段间访问控制，并通过限制企业网络环境中的横向移动（lateral movement）路径 来缩减攻击面（attack surface）。

configuring-pfsense-firewall-rules

配置 pfSense 防火墙规则、NAT 策略、VPN 隧道和流量整形，以强制实施网络分段（network segmentation）、 控制流量，并保护企业及中小型企业环境中的内部网络区域。

configuring-snort-ids-for-intrusion-detection

安装、配置和调优 Snort 3 入侵检测系统（intrusion detection system），使用自定义和社区规则集、 预处理器和告警输出插件，在授权网络分段上监控网络流量中的恶意活动。

configuring-suricata-for-network-monitoring

部署和配置 Suricata IDS/IPS，使用 Emerging Threats 规则集、EVE JSON 日志记录和自定义规则， 进行实时网络流量检测（intrusion detection）、威胁检测，并与 SIEM 平台集成实现集中化安全监控。

containing-active-breach

执行遏制策略以阻止活跃对手的操作，并在已确认的安全攻陷期间防止横向移动。使用网络分段、端点隔离、凭据撤销和访问控制修改来实施短期和长期遏制。适用于攻陷遏制、横向移动防御、网络隔离、活跃威胁遏制或实时事件响应相关请求。

correlating-security-events-in-qradar

使用 AQL（Ariel Query Language）、自定义规则、构建块和告警管理， 在 IBM QRadar SIEM 中关联安全事件，检测跨网络、端点和应用日志源的多阶段攻击。 适用于 SOC 分析师需要调查 QRadar 告警、构建关联规则或调优检测逻辑以减少误报时。

correlating-threat-campaigns

关联不同时间和组织的安全事件、IOC 和对手行为，识别统一的威胁活动，将其归因于共同的威胁行为者，并提取共享指标以改善检测效果。适用于多起事件出现重叠指标、需要跨组织分析行业范围内攻击活动，或构建活动级别情报产品时。适用于涉及活动分析、事件聚类、跨组织 IOC 关联或 MISP 关联引擎的请求。

deobfuscating-javascript-malware

通过逆向编码层、eval 调用链、字符串操作和控制流混淆， 对 Web 攻击、钓鱼页面和投放器脚本中使用的恶意 JavaScript 代码进行去混淆， 以还原原始恶意逻辑。适用于 JavaScript 恶意软件分析、脚本去混淆、 Web 嗅探器分析或混淆投放器调查等请求。

deploying-palo-alto-prisma-access-zero-trust

部署 Palo Alto Networks Prisma Access，通过 GlobalProtect Agent、ZTNA Connector、 安全策略执行以及与 Strata Cloud Manager 集成，实现基于 SASE 的零信任网络访问统一安全管理。