killvxk/cybersecurity-skills-zh - 第 2 页

detecting-kerberoasting-attacks

通过监控针对具有 SPN 的服务账户的异常 Kerberos TGS 请求，检测用于离线密码破解的 Kerberoasting 攻击。

detecting-lateral-movement-with-splunk

使用针对 Windows 身份验证日志、SMB 流量和远程服务滥用的 Splunk SPL 查询，检测跨网络的攻击者横向移动。

detecting-mimikatz-execution-patterns

通过命令行模式、LSASS 访问签名、二进制指标和已知模块的内存检测，检测 Mimikatz 的执行。

detecting-pass-the-hash-attacks

通过分析 NTLM 认证模式、识别预期使用 Kerberos 时出现的 NTLM 类型 3 登录，并与凭据转储关联，检测哈希传递（Pass-the-Hash）攻击。

detecting-privilege-escalation-attempts

检测权限提升尝试，包括令牌操控、UAC 绕过、未加引号的服务路径、内核漏洞利用以及 Windows 和 Linux 上的 sudo/doas 滥用。

detecting-privilege-escalation-in-kubernetes-pods

通过使用 Falco 和 OPA 策略监控安全上下文、能力和系统调用模式，检测并防止 Kubernetes Pod 中的权限提升。

detecting-process-hollowing-technique

通过分析内存映射节区、进程镂空指标以及 EDR 遥测中的父子进程异常，检测进程镂空技术（T1055.012）。

detecting-service-account-abuse

通过检测异常交互式登录、权限提升、横向移动和未授权访问模式，发现服务账户滥用行为。

detecting-suspicious-powershell-execution

检测可疑的 PowerShell 执行模式，包括编码命令、下载器（download cradles）、AMSI 绕过尝试以及受限语言模式规避。

detecting-t1003-credential-dumping-with-edr

利用 EDR 遥测数据、Sysmon 进程访问监控和 Windows 安全事件关联，检测针对 LSASS 内存、SAM 数据库、NTDS.dit 和缓存凭据的 OS 凭据转储技术。

detecting-t1055-process-injection-with-sysmon

通过分析 Sysmon 事件中的跨进程内存操作、远程线程创建和异常 DLL 加载模式，检测进程注入技术（T1055），包括经典 DLL 注入、进程镂空和 APC 注入。

detecting-t1548-abuse-elevation-control-mechanism

通过监控注册表修改、进程提升标志和异常的父子进程关系，检测提升控制机制滥用，包括 UAC 绕过、sudo 利用和 setuid/setgid 操纵。

eradicating-malware-from-infected-systems

系统性地清除受感染系统中的恶意软件、后门和攻击者持久化机制，确保彻底根除并防止再次感染。

exploiting-nosql-injection-vulnerabilities

检测并利用 MongoDB、CouchDB 和其他 NoSQL 数据库中的 NoSQL 注入漏洞，以演示身份验证绕过、数据提取和未授权访问风险。

exploiting-vulnerabilities-with-metasploit-framework

Metasploit Framework 是全球最广泛使用的渗透测试平台，由 Rapid7 维护，包含超过 2300 个漏洞利用模块、1200 个辅助模块和 400 个后渗透模块

hardening-docker-containers-for-production

对生产环境 Docker 容器进行安全加固，涵盖符合 CIS Docker Benchmark v1.8.0 的安全最佳实践，旨在最小化攻击面、防止权限提升，并在 Docker daemon、镜像、容器和运行时配置中强制执行最小权限原则

hardening-docker-daemon-configuration

通过配置 daemon.json 实现用户命名空间重映射、TLS 认证、无根模式（rootless mode）和 CIS Benchmark 控制措施，对 Docker daemon 进行安全加固。

hardening-linux-endpoint-with-cis-benchmark

使用 CIS Benchmark 建议对 Ubuntu、RHEL 和 CentOS 的 Linux 端点进行加固， 以减少攻击面、执行安全基线并满足合规要求。适用于部署新 Linux 服务器、修复审计发现 或为 Linux 基础设施建立安全基线的场景。

hardening-windows-endpoint-with-cis-benchmark

使用 CIS（互联网安全中心）Benchmark 建议对 Windows 端点进行加固， 以减少攻击面、执行安全基线并满足合规要求。适用于部署新 Windows 工作站或服务器、 修复审计发现或为组织建立全面安全基线的场景。适用于涉及 Windows 加固、 CIS Benchmark、GPO 安全基线或端点配置合规的请求。

hunting-for-beaconing-with-frequency-analysis

通过对网络流量应用统计频率分析、抖动计算和变异系数评分，识别命令与控制（C2）信标模式，检测被攻陷终端的周期性回调行为。

hunting-for-command-and-control-beaconing

通过频率分析、抖动检测和域名信誉评估，检测网络流量中的 C2 信标（Beaconing）模式，识别与攻击者基础设施通信的失陷终端。

hunting-for-data-exfiltration-indicators

通过网络流量分析狩猎数据外泄行为，检测异常数据流、DNS 隧道、云存储上传以及加密通道滥用。

hunting-for-living-off-the-cloud-techniques

狩猎攻击者滥用合法云服务（Azure、AWS、GCP 和 SaaS 平台）进行 C2、数据暂存和数据外泄的行为。

hunting-for-living-off-the-land-binaries

主动狩猎攻击者滥用合法系统二进制文件（LOLBin）执行恶意载荷并规避检测的行为。

hunting-for-lolbins-execution-in-endpoint-logs

通过分析终端进程创建日志，识别合法 Windows 系统二进制文件（LOLBin）被用于恶意目的的可疑执行模式，狩猎攻击者的 LOLBin 滥用行为。

hunting-for-persistence-mechanisms-in-windows

系统性地狩猎 Windows 终端中的攻击者持久化机制，涵盖注册表、服务、启动文件夹和 WMI 事件订阅。

hunting-for-persistence-via-wmi-subscriptions

通过监控 WMI 消费者、过滤器和绑定创建事件，狩猎攻击者利用 Windows Management Instrumentation 事件订阅实现的持久化，这些订阅在系统事件触发时执行恶意代码。

hunting-for-registry-persistence-mechanisms

狩猎 Windows 环境中基于注册表的持久化机制，包括 Run 键、Winlogon 修改、IFEO 注入和 COM 劫持。

hunting-for-scheduled-task-persistence

通过分析任务创建事件、可疑任务操作和异常调度模式，狩猎攻击者通过 Windows 计划任务实现的持久化。

hunting-for-shadow-copy-deletion

通过监控 vssadmin、wmic 和 PowerShell 卷影副本命令，狩猎表明勒索软件准备或反取证活动的卷影副本删除行为。

hunting-for-spearphishing-indicators

跨电子邮件日志、终端遥测和网络数据狩猎鱼叉式网络钓鱼活动指标，检测定向邮件攻击。

hunting-for-supply-chain-compromise

狩猎供应链入侵指标，包括木马化软件更新、受损依赖项、未授权代码修改和被篡改的构建产物。

hunting-for-suspicious-scheduled-tasks

通过分析任务创建事件、可疑任务属性和异常执行模式，狩猎攻击者利用 Windows 计划任务实现持久化和执行的行为（T1053.005）。

hunting-for-unusual-network-connections

通过分析出站流量模式、稀有目标地址、非标准端口和终端异常连接频率，狩猎异常网络连接。

hunting-for-webshell-activity

通过分析 Web 目录中的文件创建行为、Web 服务器异常进程派生以及异常 HTTP 模式，狩猎面向互联网服务器上的 Webshell 部署。

implementing-application-whitelisting-with-applocker

使用 Windows AppLocker 实施应用程序白名单，限制端点上未授权软件的执行， 减少来自恶意软件、未授权工具和影子 IT 的攻击面。适用于执行应用程序控制策略、 满足软件限制合规要求或防止未签名或不受信任的二进制文件执行的场景。 适用于涉及 AppLocker、应用程序白名单、软件限制或可执行文件控制的请求。

implementing-aqua-security-for-container-scanning

部署 Aqua Security 的 Trivy 扫描器，在 CI/CD 管道和镜像仓库中检测容器镜像的漏洞、配置错误、敏感信息和许可证问题。

implementing-attack-path-analysis-with-xm-cyber

部署 XM Cyber 持续暴露管理平台，映射攻击路径、识别阻塞点（Choke Points），并对威胁关键资产的 2% 高风险暴露点进行优先排序。

implementing-aws-iam-permission-boundaries

在 AWS 中配置 IAM 权限边界，使安全团队能够安全地委托开发者创建角色，同时强制执行最大权限限制。

implementing-aws-macie-for-data-classification

实施 Amazon Macie，利用机器学习和模式匹配自动发现、分类并保护 S3 存储桶中的敏感数据，包括 PII、金融数据和凭据检测。