killvxk/cybersecurity-skills-zh - 第 3 页

implementing-azure-ad-privileged-identity-management

配置 Microsoft Entra 特权身份管理（PIM）以强制执行即时角色激活（Just-in-Time）、审批工作流和 Azure AD 特权角色的访问审查。

implementing-cloud-vulnerability-posture-management

使用 AWS Security Hub、Azure Defender for Cloud 以及 Prowler、ScoutSuite 等开源工具实施云安全态势管理（CSPM），实现多云漏洞检测。

implementing-code-signing-for-artifacts

本技能涵盖为构建产物实施代码签名，以确保软件供应链中的完整性和真实性。 内容包括使用 GPG、Sigstore 和平台专用签名工具对二进制文件、软件包和容器进行签名， 建立信任链，以及在部署管道中验证签名。

implementing-container-image-minimal-base-with-distroless

通过在 Google distroless 基础镜像上构建应用镜像来减少容器攻击面，这些镜像仅包含应用运行时，没有 shell、包管理器或不必要的 OS 工具。

implementing-continuous-security-validation-with-bas

部署违规和攻击模拟（BAS）工具，通过安全模拟整个杀伤链中的真实攻击技术，持续验证安全控制有效性。

implementing-disk-encryption-with-bitlocker

使用 Microsoft BitLocker 在 Windows 端点上实施全盘加密，保护静态数据免受 设备丢失或被盗时未授权访问的威胁。适用于部署加密以满足合规要求、保护移动工作站 或在企业范围内实施数据保护控制的场景。适用于涉及 BitLocker 加密、磁盘加密、 TPM 配置或静态数据保护的请求。

implementing-endpoint-dlp-controls

实施端点数据丢失防护（DLP）控制，检测并防止敏感数据通过电子邮件、USB、 云存储和打印进行泄露。适用于部署 DLP 代理、创建内容检查策略或防止 端点上未授权数据移动的场景。适用于涉及 DLP、数据泄露防护、内容检查 或端点敏感数据保护的请求。

implementing-epss-score-for-vulnerability-prioritization

集成 FIRST 的漏洞利用预测评分系统（EPSS）API，基于 30 天内真实世界漏洞利用概率对漏洞修复工作进行优先排序。

implementing-fuzz-testing-in-cicd-with-aflplusplus

将 AFL++ 覆盖率引导的模糊测试集成到 CI/CD 管道中，以发现 C/C++ 和编译型应用中的内存损坏、输入处理和逻辑漏洞。

implementing-gcp-binary-authorization

实施 GCP Binary Authorization，强制执行部署时安全控制，确保只有受信任且经过认证的容器镜像才能部署到 Google Kubernetes Engine 和 Cloud Run。

implementing-gcp-organization-policy-constraints

实施 GCP 组织策略约束，在整个资源层次结构中强制执行安全防护栏，限制危险配置并在组织、文件夹和项目级别确保合规性。

implementing-github-advanced-security-for-code-scanning

配置 GitHub Advanced Security 与 CodeQL，在企业级别对仓库执行自动化静态分析和漏洞检测。

implementing-google-workspace-sso-configuration

为 Google Workspace 配置基于 SAML 2.0 的单点登录（SSO），与第三方身份提供商集成，实现集中认证并强制执行全组织范围的访问策略。

implementing-identity-verification-for-zero-trust

为零信任架构实现身份验证控制

implementing-image-provenance-verification-with-cosign

使用 Sigstore Cosign 进行容器镜像来源签名与验证，支持基于 OIDC 的无密钥签名、证明附件及 Kubernetes 准入强制执行。

implementing-infrastructure-as-code-security-scanning

本技能涵盖使用 Checkov、tfsec 和 KICS 等工具为基础设施即代码（IaC）模板实施自动化安全扫描。 内容包括在部署前检测 Terraform、CloudFormation、Kubernetes 清单和 Helm charts 中的配置错误， 建立基于策略的治理，以及将 IaC 扫描集成到 CI/CD 管道中以防止不安全的云资源配置。

implementing-just-in-time-access-provisioning

实施即时访问（JIT）配置以消除常设权限，仅在需要时授予临时、时限访问。本技能涵盖 JIT 架构设计、审批工作流、自动过期、与 PAM 和 IGA 平台的集成，以及与零信任原则的对齐。

implementing-kubernetes-network-policy-with-calico

使用 Calico NetworkPolicy 和 GlobalNetworkPolicy 实施 Kubernetes 网络分段，实现 Pod 间零信任通信。

implementing-kubernetes-pod-security-standards

Pod 安全标准（PSS）定义了三个安全策略级别——特权级、基线级和受限级——由 Kubernetes 1.25+ 内置的 Pod 安全准入（PSA）控制器强制执行。

implementing-memory-protection-with-dep-aslr

实施内存保护机制，包括 DEP（数据执行防护）、ASLR（地址空间布局随机化）、 CFG（控制流防护）和其他漏洞利用缓解措施，以防御内存损坏攻击。适用于加固端点 以抵御缓冲区溢出利用、ROP 链和代码注入的场景。适用于涉及内存保护、漏洞利用缓解、 DEP、ASLR 或 CFG 配置的请求。

implementing-mitre-attack-coverage-mapping

实施 MITRE ATT&CK 覆盖率映射，以识别检测空白、优先排序规则开发，并衡量 SOC 检测成熟度与对手技术的匹配程度。

implementing-network-policies-for-kubernetes

通过配置 Kubernetes NetworkPolicy 资源实施 Pod 级别的网络分段，强制执行最小权限通信并限制集群内的横向移动（Lateral Movement）。

implementing-next-generation-firewall-with-palo-alto

配置和部署 Palo Alto Networks 下一代防火墙（NGFW），实现 App-ID 应用识别、User-ID 用户身份、基于区域的策略、SSL 解密以及威胁防御配置文件，为企业网络安全提供全面保护。

implementing-opa-gatekeeper-for-policy-enforcement

使用 OPA Gatekeeper 通过 ConstraintTemplate、Rego 规则和 Gatekeeper 策略库强制执行 Kubernetes 准入策略。

implementing-patch-management-workflow

补丁管理（Patch Management）是识别、测试、部署和验证软件更新以修复组织 IT 基础设施漏洞的系统化流程。有效的补丁管理工作流通过结构化测试、审批门禁和分阶段发布，在降低攻击面的同时将运营中断降至最低。

implementing-pod-security-admission-controller

使用内置准入控制器在命名空间级别实施 Kubernetes Pod Security Admission（Pod 安全准入），强制执行基线和受限安全配置文件。

implementing-policy-as-code-with-open-policy-agent

本技能涵盖在 Kubernetes 和 CI/CD 管道中实施 Open Policy Agent（OPA）和 Gatekeeper 进行策略即代码执行。 内容包括编写 Rego 策略、将 OPA Gatekeeper 部署为 Kubernetes 准入控制器、在开发中测试策略， 以及将策略评估集成到部署管道中。

implementing-privileged-access-management-with-cyberark

部署 CyberArk 特权访问管理，对企业基础设施中的特权凭据进行发现、保管、轮换和监控。涵盖保险库架构、会话隔离、凭据轮换策略，以及与 NIST 800-53 访问控制要求的集成。

implementing-rapid7-insightvm-for-scanning

部署和配置 Rapid7 InsightVM 安全控制台（Security Console）和扫描引擎（Scan Engines），在企业环境中执行认证和非认证漏洞扫描。

implementing-rbac-for-kubernetes-cluster

配置 Kubernetes 基于角色的访问控制（RBAC），对集群资源强制执行最小权限访问。涵盖 Role/ClusterRole 设计、RoleBinding 配置、服务账户安全、命名空间隔离，以及多租户 Kubernetes 环境的审计日志。

implementing-rbac-hardening-for-kubernetes

通过实施最小权限策略、审计角色绑定、消除 cluster-admin 权限蔓延并集成外部身份提供商，加固 Kubernetes 基于角色的访问控制（RBAC）。

implementing-runtime-security-with-tetragon

使用 Cilium Tetragon 在 Kubernetes 集群中实施基于 eBPF 的运行时安全可观测性与执行机制，实现内核级别的威胁检测（Threat Detection）和策略执行。

implementing-saml-sso-with-okta

使用 Okta 作为身份提供商（IdP）实施 SAML 2.0 单点登录（SSO）。涵盖 SAML 认证流程的端到端配置、属性映射、证书管理，以及企业 SSO 部署的安全加固。

implementing-scim-provisioning-with-okta

使用 SCIM 2.0 协议以 Okta 作为身份提供商实现自动化用户配置和取消配置。

implementing-secret-scanning-with-gitleaks

本技能涵盖实施 Gitleaks 以检测和防止 git 仓库中的硬编码机密信息。 内容包括配置预提交钩子、CI/CD 管道集成、为组织特定机密编写自定义规则、 管理现有仓库的基线，以及暴露凭证的修复工作流程。

implementing-soar-playbook-with-palo-alto-xsoar

在 Cortex XSOAR 中实施自动化事件响应剧本，跨 SOC 工具编排安全工作流并缩短手动响应时间。

implementing-supply-chain-security-with-in-toto

使用 in-toto 框架为容器构建流程实施软件供应链（Supply Chain）完整性验证，在 CI/CD 流水线各步骤创建经过密码学签名的证明（Attestation）。

implementing-usb-device-control-policy

实施 USB 设备控制策略，限制端点上未授权的可移动媒体访问，防止通过 USB 设备 进行数据泄露和引入恶意软件。适用于通过组策略、Intune 或 EDR 平台部署设备控制 以执行 USB 限制的场景。适用于涉及 USB 控制、可移动媒体策略、设备控制或 通过 USB 进行数据丢失防护的请求。

implementing-velociraptor-for-ir-collection

在事件响应中部署和配置 Velociraptor，使用 VQL 查询、Hunt 和预置产物包，在 Windows、Linux 和 macOS 环境中进行可扩展的端点取证产物采集。

implementing-vulnerability-remediation-sla

漏洞修复 SLA（服务级别协议）根据严重程度、资产重要性和漏洞利用可用性定义修补或缓解已识别漏洞的强制时限。有效的 SLA 计划推动责任落实、确保一致的修复时间线，并为漏洞管理成熟度提供可衡量的 KPI。