killvxk/cybersecurity-skills-zh - 第 15 页

implementing-privileged-access-workstation

设计并实施特权访问工作站（PAW，Privileged Access Workstation），包括设备加固、即时访问（JIT）以及与 CyberArk 或 BeyondTrust 的集成，以保障安全的管理操作。

implementing-privileged-identity-management-with-azure

使用 Microsoft Graph API 配置 Azure AD 特权身份管理（PIM），管理符合条件的角色分配、即时激活、访问审查，以及用于零信任特权访问的角色管理策略。

implementing-privileged-session-monitoring

监控和审计特权用户会话，包括 SSH、RDP 和数据库访问。 跟踪会话元数据、记录命令执行、检测异常活动， 并为 PAM 合规性执行会话策略。

implementing-purdue-model-network-segmentation

基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。

implementing-runtime-application-self-protection

部署运行时应用自我保护（RASP，Runtime Application Self-Protection）代理，从应用运行时内部检测并阻断攻击，涵盖 OpenRASP 集成、攻击模式检测，以及 Java 和 Python Web 应用的安全策略配置。

implementing-secrets-management-with-vault

本技能涵盖在云环境中部署 HashiCorp Vault 进行集中式密钥管理，包括为数据库和云提供商生成动态密钥、传输加密（Transit Encryption）、PKI 证书管理以及 Kubernetes 集成。通过实现短生命周期、自动轮换的密钥，解决应用代码和 CI/CD 流水线中硬编码凭据的问题。

implementing-secrets-scanning-in-ci-cd

将 gitleaks 和 trufflehog 集成到 CI/CD 管道中，在部署前检测泄露的机密信息

implementing-security-chaos-engineering

实施安全混沌工程实验，故意禁用或降级安全控制措施，以验证检测和响应能力。 使用 boto3 和 subprocess 测试 WAF 绕过、防火墙规则删除、日志管道中断和 EDR 禁用等场景。 适用于验证 SOC 检测覆盖率和韧性的场景。

implementing-security-information-sharing-with-stix2

使用 stix2 Python 库创建、验证和共享 STIX 2.1 威胁情报对象。涵盖指标、恶意软件、活动、关系、Bundle 和 TAXII 2.1 发布。

implementing-security-monitoring-with-datadog

使用 Datadog 的云安全信息和事件管理（Cloud SIEM）、日志分析和威胁检测能力实施安全监控，识别并响应整个云基础设施中的安全事件。

implementing-semgrep-for-custom-sast-rules

使用 YAML 编写自定义 Semgrep SAST 规则，以检测应用程序特定漏洞、执行编码标准并集成到 CI/CD 管道中。

implementing-siem-correlation-rules-for-apt

编写多事件关联规则，通过链接跨主机的 Windows 身份验证事件、进程执行遥测和网络连接日志， 检测高级持续性威胁（APT）的横向移动。使用 Splunk SPL 和 Sigma 规则格式， 在滑动时间窗口内关联事件 ID 4624、4648、4688 和 Sysmon 事件 1/3， 以发现单一事件检测无法识别的攻击序列。

implementing-siem-use-case-tuning

通过分析告警量、创建白名单、调整阈值以及衡量 Splunk 和 Elastic 中的检测有效性指标，调整 SIEM 检测规则以减少误报

implementing-siem-use-cases-for-detection

通过设计映射到 MITRE ATT&CK 技术的关联规则、阈值告警和行为分析， 在 Splunk、Elastic 和 Sentinel 中实施 SIEM 检测用例。 适用于 SOC 团队需要扩展检测覆盖范围、规范用例生命周期管理， 或构建与组织威胁画像对齐的检测库时。

implementing-soar-automation-with-phantom

使用 Splunk SOAR（原 Phantom）实施安全编排、自动化和响应（SOAR）工作流， 自动化告警分诊、IOC 富化、遏制动作和事件响应剧本。 适用于 SOC 团队需要减少分析师手工工作、标准化响应流程， 或将多种安全工具集成到自动化工作流中时。

implementing-soar-playbook-for-phishing

使用 Splunk SOAR REST API 自动化网络钓鱼事件响应，包括创建容器、添加制品并触发剧本

implementing-stix-taxii-feed-integration

STIX（结构化威胁信息表达式）和 TAXII（可信自动化情报信息交换）是 OASIS 开放标准，用于表示和传输网络威胁情报。

implementing-syslog-centralization-with-rsyslog

配置 rsyslog 实现集中式日志收集，支持 TLS 加密、自定义模板和日志轮转。 生成服务端和客户端配置文件，包含 GnuTLS 流驱动、x509 证书认证、 按主机隔离日志存储以及高可用 syslog 基础设施的可靠队列设置。

implementing-taxii-server-with-opentaxii

部署和配置 OpenTAXII 服务器，使用 TAXII 2.1 协议共享和消费 STIX 格式的网络威胁情报，实现组织间的自动化指标交换。

implementing-threat-intelligence-lifecycle-management

实现结构化威胁情报生命周期，涵盖规划、收集、处理、分析、传播和反馈阶段，为组织决策生产可操作情报。

implementing-threat-intelligence-platform

构建以 MISP 为后端的威胁情报平台，从多个 Feed 摄入 IOC，通过 Galaxy 集群关联事件，并通过 VirusTotal 和 AbuseIPDB 富化指标。使用 PyMISP 创建事件、添加带 IDS 标志的属性、标记 MITRE ATT&CK 技术，并导出 STIX 2.1 Bundle 供下游 SIEM 消费。

implementing-threat-modeling-with-mitre-attack

使用 MITRE ATT&CK 框架实施威胁建模，将对手 TTP 映射到组织资产， 评估检测覆盖缺口，并优化防御投资。 适用于 SOC 团队需要将检测工程与威胁态势对齐、对新环境开展威胁评估， 或为安全工具采购提供决策依据时。

implementing-ticketing-system-for-incidents

实施集成事件工单系统，将 SIEM 告警对接 ServiceNow、Jira 或 TheHive， 用于结构化事件跟踪、SLA 管理、升级工作流和合规文档记录。 适用于 SOC 团队需要通过自动化工单创建、分配路由和解决跟踪来规范事件生命周期管理时。

implementing-vulnerability-management-with-greenbone

使用 python-gvm 库部署和运营 Greenbone/OpenVAS 漏洞管理，通过 GMP 协议创建扫描目标、执行漏洞扫描并解析扫描报告。

implementing-web-application-logging-with-modsecurity

配置带有 OWASP 核心规则集（CRS）的 ModSecurity WAF，实现 Web 应用程序日志记录， 调整规则以减少误报，分析审计日志进行攻击检测，并为应用程序特定威胁实现自定义 SecRules。 分析师配置 SecRuleEngine、SecAuditEngine 和 CRS 偏执级别，以在安全覆盖范围和运营稳定性之间取得平衡。 适用于涉及 WAF 配置、ModSecurity 规则调整、Web 应用审计日志或 CRS 部署的场景。

implementing-zero-trust-for-saas-applications

使用 CASB、SSPM、条件访问策略、OAuth 应用治理和会话控制，为 SaaS 应用实施零信任访问控制， 对云托管服务强制执行身份验证、设备合规性检查和数据保护。

implementing-zero-trust-in-cloud

本技能指导组织按照 NIST SP 800-207 和 Google BeyondCorp 原则在云环境中实施零信任（Zero Trust）架构，涵盖以身份为中心的访问控制、微分段（Micro-Segmentation）、持续验证、设备信任评估，以及部署身份感知代理（Identity-Aware Proxy）以消除 AWS、Azure 和 GCP 环境中的隐式网络信任。

implementing-zero-trust-network-access

通过配置身份感知代理、微分段、基于条件访问策略的持续验证，以及在 AWS、Azure 和 GCP 环境中以 BeyondCorp 风格的架构替代传统 VPN 访问，在云环境中实施零信任网络访问（ZTNA）。

implementing-zero-trust-with-beyondcorp

使用身份感知代理（IAP，Identity-Aware Proxy）、上下文感知访问策略、设备信任验证和 Access Context Manager，部署 Google BeyondCorp Enterprise 零信任访问控制，对 GCP 资源和内部应用强制执行基于身份和安全态势的访问。

investigating-insider-threat-indicators

调查内部威胁（Insider Threat）指标，包括数据渗漏（Data Exfiltration）尝试、未授权访问模式、 策略违规和离职前行为，结合 SIEM 分析、DLP 告警和 HR 数据关联进行调查。 适用于 SOC 团队收到 HR 内部威胁转介、检测到员工异常数据移动， 或需要为潜在内部威胁建立调查时间线时。

investigating-phishing-email-incident

调查钓鱼（Phishing）邮件事件，从初始用户举报开始，经过邮件头分析、URL/附件引爆、 受影响用户识别和遏制行动，使用 Splunk、Microsoft Defender 和沙箱分析平台等 SOC 工具。 适用于收到的钓鱼邮件举报需要进行完整事件调查以确定范围和影响时。

investigating-ransomware-attack-artifacts

识别、收集和分析勒索软件攻击制品，以确定变种、初始访问向量、加密范围和恢复选项。

managing-cloud-identity-with-okta

本技能涵盖将 Okta 部署为云环境集中身份提供商，配置与 AWS、Azure 和 GCP 的 SSO 集成，使用 Okta FastPass 部署抗钓鱼 MFA，管理用户预配置和取消配置的生命周期自动化，以及基于设备态势和风险信号实施自适应访问策略。

managing-intelligence-lifecycle

管理端到端网络威胁情报生命周期，从规划和指导，经过收集、处理、分析、传播到反馈，确保情报产品满足相关方需求并持续改进。当建立或成熟化 CTI 计划、与业务相关方定义情报需求，或在情报消费者和生产者之间建立反馈循环时使用。适用于涉及 CTI 计划成熟度、情报需求、PIR 或情报生命周期管理的请求。

mapping-mitre-attack-techniques

将观察到的对手行为、安全告警和检测规则映射到 MITRE ATT&CK 技术和子技术，以量化检测覆盖率并指导控制优先级。当构建基于 ATT&CK 的覆盖热图、为 SIEM 告警标记技术 ID、将安全控制与对手攻击手册对齐，或向高层报告威胁暴露时使用。适用于涉及 ATT&CK Navigator、Sigma 规则、MITRE D3FEND 或覆盖缺口分析的请求。

monitoring-darkweb-sources

监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。

performing-active-directory-forest-trust-attack

使用 impacket 枚举和审计 Active Directory 林信任关系，进行 SID 过滤分析、信任密钥提取、跨林 SID 历史滥用检测和跨域 Kerberos 票据评估。

performing-api-fuzzing-with-restler

使用 Microsoft RESTler 执行有状态 REST API 模糊测试（Fuzzing），通过自动生成并执行测试序列来 覆盖 API 端点，发现请求间的生产者-消费者依赖关系，并找出安全性和可靠性缺陷。 测试人员将 OpenAPI 规范编译为 RESTler 模糊测试语法，配置认证，运行 test/fuzz-lean/fuzz 模式，并分析结果以发现 500 错误、认证绕过、资源泄漏和载荷注入漏洞。 当请求涉及 API 模糊测试、RESTler 测试、有状态 API 测试或自动化 API 安全扫描时触发。

performing-api-inventory-and-discovery

执行 API 资产清点和发现，以识别组织环境中的所有 API 端点，包括已记录的、 未记录的、影子 API、僵尸 API 和已废弃的 API。测试人员通过被动流量分析、 主动扫描、DNS 枚举、JavaScript 分析和云资源清点来构建全面的 API 目录。 映射至 OWASP API9:2023 不当资产管理。当请求涉及 API 发现、影子 API 检测、 API 清单审计或攻击面测绘时触发。

performing-api-rate-limiting-bypass

通过操纵请求头、IP 地址、HTTP 方法、API 版本和编码方案，测试 API 限速（Rate Limiting） 实现中的绕过漏洞，以规避请求节流控制。测试人员识别限速响应头，确定执行机制， 并尝试包括 X-Forwarded-For 欺骗、参数污染、大小写变换和端点路径操纵在内的绕过手段。 映射至 OWASP API4:2023 无限制资源消耗。当请求涉及限速绕过、API 节流规避、 暴力破解防护测试或 API 滥用防御评估时触发。